Zoznam otázok pýta, či sme vykonali penetračný test

Pentest je dôkaz, nie samostatný požiadavok

Pentest — penetračný test, pri ktorom sa niekto aktívne pokúša vnikúť do systému — nie je v žiadnom z desiatich opatrení článku 21 bod 2 uvedený ako samostatný povinný prvok. Otázka väčšinou pochádza z opatrenia o riadení rizík a zraniteľností: klient chce vedieť, či testujete, aby vaša bezpečnosť v praxi obstála, nielen na papieri. To isté platí pre ISO/IEC 27001: Príloha A neuvádzajú povinný pentest, ale technickú kontrolu zraniteľností, a pentest je jej najkonkrétnejším vyjadrením, ktoré audítori poznajú.

Ak si nikdy nenechal urobiť pentest, potom je "nie" správna odpoveď — navrhovaný "áno" bez správy nie je možné zdôvodniť. Mnohé firmy to vyplnia tým, čo majú: skenom zraniteľností, externým auditom alebo prebiehajúcim proces na zisťovanie a odstránenie zraniteľností. Nie je to to isté ako pentest, ale ukazuje to, že tu niečo je. Či to vysvetlíte klientovi, je na vás; samotné pole odpovede ostáva faktické. Ak si pentest naozaj nechal urobiť, potom je správa — alebo jej zhrnutie — dôkazný dokument, ktorý patrí k "áno", prípadne s tlačidlom dôvernosti, ak nechceš zdieľať detaily.

Odkiaľ to pochádza: článok 21 a príloha A

Článok 21 bod 2 Smernice (EÚ) 2022/2555 uvádza riadenie zraniteľností a hodnotenie účinnosti opatrení ako povinné prvky bez predpisu konkrétnej metódy pentestu. Zákon o kybernetickej bezpečnosti prevezme túto povinnosť, akonáhle nadobudne platnosť. ISO/IEC 27001 príloha A to rozpracuje ďalej pod riadiacimi opatreniami technickej kontroly zraniteľností, kde pentest predstavuje bežnú prax. Kto dokáže, že účinnosť bezpečnostných opatrení pravidelne kontrolovaná sa často už čiastočne vyskytuje, aj bez slova pentest vo vlastnom spise.