naročnik želi vedeti, kako pogosto testiramo naše sisteme

Ni predpisane fiksne frekvence

V besedilu zakona ni navedeno število. Člen 21 odstavek 2 Direktive NIS2 pod točko f navaja "politike in postopke za oceno učinkovitosti varnostnih ukrepov za upravljanje kibernetskih varnostnih tveganj" — pentest je najbolj konkretna konkretizacija tega, vendar direktiva ne predpisuje, kako pogosto se mora izvajati. Pričakuje se, da tudi Zakon o kibernetski varnosti, ki bo ta člen vnos v slovensko pravo, ne bo dodal fiksnega intervala. Vprašalnik tvoje stranke sam zapolni to vrzel: številni formati konkretno sprašujejo po "najmanj letno" ali "pri bistvenih spremembah", vendar je to norma te stranke, ne zakona.

V praksi lahko torej izpolniš svoj lastni tempo, ne pa obveznega tempa. Testirate letno, po vsakem večjem izdanju ali samo ad hoc po incidentu? Ta odgovor je skupaj s podatkom in obsegom zadnjega testa običajno na voljo kot ločen dokument v ketendossierju — poišči pentestno poročilo ali njegov povzetek za vodstvo. Če še nimaš fiksne frekvence, je "ad hoc, zadnjič izvedeno dne [datum]" bolj pošten odgovor kot da si izmisliš frekvenco, ki je ne upoštevaš. To vprašanje je pogosto v istem bloku kot postopkom za odkrivanje in odpravljanje ranljivosti — pentest je en način za iskanje ranljivosti, skeniranje in politika popravkov sta druga.

ISO 27001 kot posredna izbira

Kdor ima certifikat ISO 27001, je običajno že preko ukrepov Prilog A predpisal notranjo politiko za periodično presojo, vključno s frekvenco, ki jo je organizacija izbrala pri oceni tveganja. To naredi vprašanje o certifikatu ISO 27001 relevantno kot podkrepljujoči dokaz: ne zato, ker certifikat predpisuje pentest-frekvenco, ampak ker dokazuje, da obstaja usposobljena politika presoje, iz katere je mogoče razbrati to frekvenco.