Zákazník si vyžaduje výsledky penetračného testu, ale my sme ho nikdy neproviedli

Neuskutočnenie penetračného testu nie je automatické nie

Penetračný test — penetračný test, v ktorom sa niekto aktívne pokúša vniknúť do vašich systémov, aby našiel slabé miesta — je jednou z možných overenie účinnosti, ale nie jedinou. Článok 21 odsek 2 smernice NIS2 vyžaduje "politiku a postupy na overenie účinnosti opatrení", bez predpísania penetračného testu. Tiež príloha A normy ISO/IEC 27001 spomína technické riadenie zraniteľností a testovanie, ale nevynucuje si žiadnu špecifickú testovaciu metódu. Často teda môžete čestne vyplniť "nie, zatiaľ nie" bez toho, aby to bola blokujúca odpoveď — je to jedno z desiatich opatrení, nie jediné.

Čo sa počíta ako alternatívny dôkaz: automatizované skeny zraniteľností, proces záplat alebo analýza rizík, ktorá ukazuje, že penetračný test ešte nebol považovaný za potrebný vzhľadom na rozsah vašich systémov. Skontrolujte pri procesom na detekciu a opravu zraniteľností či tam už máte niečo v príprave — často áno, aj bez toho, aby sa to nazývalo "pentest". Ak váš dossier nemá tento dôkazný materiál, systém nenabidne "áno": dostanete otázku s prázdnou odpoveďou a vy sami sa rozhodnete, či vyplníte "nie" alebo či si najprv nechiate spustiť skenovanie. Niektorí klienti akceptujú záväzok ("plánuje sa v Q-koľko") ako prechodnú odpoveď; to sa dozviete až po odoslaní na ich portál.

Na čom to stojí: článok 21 odsek 2 a príloha A

Povinnosť periodického testovania vyplýva z článku 21 odsek 2 Smernice (EÚ) 2022/2555, ktorá ako jedno z desiatich opatrení stanovuje "politiky a postupy na posúdenie účinnosti opatrení na správu kybernetických bezpečnostných rizík", vedľa — nie namiesto — riadenia zraniteľností. ISO/IEC 27001 príloha A to rozpracúva v opatreniach na správu týkajúcich sa technických zraniteľností a posúdenia bez toho, aby pentest stanovila ako povinný nástroj. To, či vaša organizácia spadá pod priame povinnosti NIS2, závisí od sektora a rozsahu — to určíte nezávisle od tejto otázky, napríklad prostredníctvom otázke, či spoločnosť sama podlieha NIS2.