zákazník sa pýta, či sme si dali vykonať penetračný test, čo mám odpovedať

Správa o penetračnom teste je dôkaz, nie samostatný požiadavok

Pentest — penetračný test, pri ktorom sa niekto aktívne pokúša preniknúť do vašich systémov — nie je nikde uvedený ako samostatný povinný dokument v článku 21 ods. 2 smernice NIS2. Požiadavka vášho klienta spadá pod opatrenie týkajúce sa testovania a hodnotenia účinnosti opatrení na kybernetickú bezpečnosť, a správa o penetračnom teste je k tomu najkonkrétnejším dostupným dôkazom. Ak ho máte, odpoveď bývá zvyčajne áno. Ak ste nikdy nenechali vykonať penetračný test, odpoveď je nie — a to samo o sebe nie je problém, pokiaľ môžete inak preukázať, že pravidelne testujete účinnosť opatrení bezpečnosti, napríklad internými auditmi alebo skannovaním zraniteľností.

Pri vypĺňaní dávajte pozor na to, čo sa presne požaduje: samotná správa o penetračnom teste alebo len potvrdenie o tom, že sa testovanie uskutočňuje. Niektoré portály požadujú správu ako prílohu — to je iný požiadavok ako áno/nie otázka a správy často obsahujú citlivé technické podrobnosti. Na to slúži tlačidlo dôvernosti: sami rozhodujete, či a s kým zdieľate úplný dokument nezávisle od odpovede áno alebo nie. Ak ste mali penetračný test, ale chýba prepojenie s riešením zistených zraniteľností, skontrolujte aj to, či váš proces na zisťovanie a odstraňovanie zraniteľností tam už patrí — mnohí klienti to totiž požadujú v rovnakej časti.

Čo z toho vyplýva z ISO 27001 a NIS2

Príloha A normy ISO/IEC 27001 nemá samostatný kontrolný bod "pentest", ale opatrenia na správu technických zraniteľností a na nezávislé posúdenie bezpečnosti informácií sú v praxi často podporované výsledkami penetračných testov. Smernica NIS2, článok 21 ods. 2, uvádza medzi desiatimi opatreniami testovanie a hodnotenie politiky aj riadenie zraniteľností a ich zverejňovanie ako samostatné prvky — správa o penetračnom teste zvyčajne slúži ako dôkaz pri prvom, a jej dodržiavanie pri druhom.