chestionarul întreabă dacă am efectuat un test de penetrare

Pentestul este dovadă, nu o cerință separată

Un pentest — o testare de penetrare, în care cineva încearcă activ să pătrundă într-un sistem — nu figurează ca element obligatoriu separat în niciuna din cele zece măsuri ale articolului 21 alineatul (2). Întrebarea provine de obicei din măsura privind gestionarea riscurilor și vulnerabilităților: clientul dorește să știe dacă testezi dacă securitatea ta rezistă în practică, nu doar pe hârtie. Același lucru se aplică în cazul ISO/IEC 27001: Anexa A nu menționează niciun pentest obligatoriu, ci wel gestionarea tehnică a vulnerabilităților, iar un pentest este cea mai concretă implementare a acesteia pe care auditorii o recunosc.

Dacă nu ai cerut niciodată un test de penetrare, atunci "nu" este răspunsul corect — a propune un "da" fără raport nu poate fi justificat. Multe companii completează acest lucru cu ceea ce au facut: o scanare a vulnerabilităților, o audit externă, sau o activitate în curs procesul de identificare și remediere a vulnerabilităților. Aceasta nu este același lucru cu un test de penetrare, dar arată că există ceva. Dacă dorești să explici această diferență clientului tău, depinde de tine; câmpul de răspuns în sine rămâne factual. Dacă ai efectuat un test de penetrare, atunci raportul — sau un rezumat al acestuia — este documentul justificativ care se potrivește cu un "da", eventual cu butonul de confidențialitate dacă nu dorești să partajezi detaliile.

De unde provine acest lucru: articolul 21 și Anexa A

Articolul 21 alineatul (2) din Directiva (UE) 2022/2555 menționează managementul vulnerabilităților și evaluarea eficacității măsurilor ca elemente obligatorii, fără a prescrie o testare de penetrare ca metodă. Legea privind securitatea cibernetică preia această obligație odată ce aceasta intră în vigoare. ISO/IEC 27001 Anexa A o detaliază în continuare în cadrul măsurilor de control pentru managementul tehnic al vulnerabilităților, unde testarea de penetrare se încadrează ca o practică obișnuită. Cine poate dovedi că the effectiveness of security measures periodically assessed devine, are adesea deja o parte din răspuns pregătit, chiar și fără ca termenul pentest să apară în propriul dosar.