stranka sprašuje, ali smo opravili pentest, kaj moram odgovoriti

Poročilo o penetracijskem testu je dokaz, ne samostojna zahteva

Penetracijski test — test vdora, pri katerem se nekdo aktivno poskuša vdreti v vaše sisteme — nigdje ni naveden kot ločen obvezni dokument v členu 21(2) Direktive NIS2. Zahteva vašega naročnika spada pod ukrep za testiranje in vrednotenje učinkovitosti ukrepov kibernetske varnosti, in poročilo o penetracijskem testu je za to najbolj konkreten dokaz, ki obstaja. Če ga imate, je odgovor običajno da. Če nikoli niste izvedli penetracijskega testa, je odgovor ne — in to samo po sebi ni problem, dokler lahko drugje pokažete, da redko preizkušate učinkovitost ukrepov za varnostna primer z notranjimi revizijami ali pregledi ranljivosti.

Pri izpolnjevanju bodite pozorni na to, kaj se natančno zahteva: poročilo o penetracijskem testu samem, ali samo potrdilo, da se testiranje izvaja. Nekateri portali zahtevajo poročilo kot prilogo — to je drugačna zahteva kot vprašanje da/ne, in poročila pogosto vsebujejo občutljive tehnične podrobnosti. Za to obstaja gumb za zaupnost: sami odločite, ali in s kom delite celoten dokument, ločeno od tega, ali je odgovor da ali ne. Če ste imeli penetracijski test, vendar manjka povezava z ukrepanjem glede odkritih ranljivosti, preverite tudi, ali vaš postopek za odkrivanje in odpravljanje ranljivosti že spada tja — veliko naročnikov to namreč sprašuje v istem razdelku.

Kjer to izhaja iz ISO 27001 in NIS2

Priloga A standarda ISO/IEC 27001 nima ločene kontrolne točke »penetracijski test«, vendar se ukrepi o upravljanju tehničnih ranljivosti in o neodvisnem pregledu varnosti informacij v praksi pogosto podpirajo z rezultati penetracijskih testov. Direktiva NIS2, člen 21(2), med desetimi ukrepi našteva tako testiranje in vrednotenje politik kot upravljanje ranljivosti in njihovo razkritje kot ločene dele — poročilo o penetracijskem testu običajno služi kot dokaz pri prvem, in njegova izvedba pri drugem.