zákazník sa pýta, či sme nedávno vykonali penetračný test

Penetračný test je dôkazom testovania, nie samostatným kritériom

Penetračný test je jedným zo spôsobov, ako preukázať, že sa bezpečnosť pravidelne testuje, nie autonómnou požiadavkou samotnou. Článok 21 odsek 2 smernice NIS2 spomína v bode f "politiku a postupy na posúdenie účinnosti opatrení", a penetračný test je jedným z jej naplnení vedľa napríklad skeneru zraniteľností alebo internej auditu. Ak sa v otázke výslovne pýtate na penetračný test, môžete odpovedať "áno" len čo máte testovú správu, bez ohľadu na to, ako vyzerá zvyšok vášho testovacieho procesu.

Ak si nevykonal test penetrácie, ale vykonal si iné formy testovania — externý bezpečnostný audit, certifikáciu ISO 27001 s príslušnými internými auditmi alebo automatizovaný sken — potom je "nie" na doslovno položenú otázku správna odpoveď, s prípadným vysvetlením alternatívneho testovania v poli voľného textu, ak také pole existuje. Nevyplňuj "áno" len preto, že "robíš niečo pri testovaní"; otázka je dostatočne špecifická na to, aby sa s ňou zaobchádzalo ako s oddelením faktom. Táto téma sa dotýka aj otázky, či sa účinnosť opatrení pravidelne kontroluje, a často aj procesom na detekciu a opravu zraniteľností, pretože penetračné testy a skeny zraniteľností sa v praxi často požadujú vzájomne, hoci ide o dve rôzne opatrenia.

Kde sa to nachádza: článok 21 bod 2 písm. f), Príloha A

Článok 21 bod 2 písm. f) Smernice (EÚ) 2022/2555 vyžaduje "politiky a postupy na zhodnotenie účinnosti opatrení na riadenie kybernetických bezpečnostných rizík", bez špecifického predpisu penetračného testu. ISO/IEC 27001 Príloha A to ďalej rozpracováva v opatreniach týkajúcich sa technických zraniteľností a hodnotenia bezpečnosti informácií, kde sa penetračný test hodí ako praktická implementácia, ale nie je uvedený ako povinný nástroj. Zákon o kybernetickej bezpečnosti prevezme túto požiadavku po nadobudnutí účinnosti bez toho, aby sa podľa očakávania viazal na konkrétny typ testu.