Vprašalnik prosi, ali smo izvedli penetracijski test

Test penetracije je dokaz, ne samostojna zahteva

Test penetracije — penetracijski test, pri katerem se nekdo aktivno poskuša vdreti v sistem — ni naveden kot ločen obvezni element v nobeni od desetih ukrepov člena 21 odstavka 2. Vprašanje običajno izhaja iz ukrepa glede upravljanja tveganj in ranljivosti: stranka želi vedeti, ali testirate ali vaša varnostna protivlomena v praksi zdržijo, ne le na papirju. Enako velja za ISO/IEC 27001: Dodatek A ne omenja obveznega testa penetracije, ampak tehnično obvladovanje ranljivosti, in test penetracije je njegovih najbolj konkretnih izpolnitev, ki jih auditorji prepoznajo.

Če nikoli nisi opravil testa penetracije, je »ne« pravi odgovor — »da« predlagati brez poročila ni mogoče utemeljiti. Mnoga podjetja to izpolnijo s tem, kar imajo: skeniranje ranljivosti, zunanji pregled ali tekočo postopek za odkrivanje in odpravo ranljivostiČe pa si test penetracije opravil, je poročilo — ali povzetek tega — dokaz, ki ga je treba priložiti »da« odgovoru, po potrebi s gumbom za zaupnost, če ne želiš deliti podrobnosti.

Izvor tega: člen 21 in Dodatek A

Člen 21 odstavek 2 Direktive (EU) 2022/2555 omenja upravljanje ranljivosti in oceno učinkovitosti ukrepov kot obvezne dele, ne da bi predpisala test penetracije kot metodo. Zakon o kibernetski varnosti prevzame to obveznost, ko začne veljati. ISO/IEC 27001 Dodatek A to nadaljnje razčleni v okviru kontrolnih ukrepov za tehnično upravljanje ranljivosti, pri katerem test penetracije sodi med običajno prakso. Tisti, ki lahko dokaže, da učinkovitost varnostnih ukrepov redno preverja se pogosto že nahaja del odgovora, tudi brez da se beseda test penetracije pojavi v lastnem poslovniku.