moj zavarovalec želi videti poročilo testa penetracije, kaj moram predložiti

Kaj zavarovalnica misli s »poročilom o testiranju penetracije«

Običajno zavarovalnica ne prosi za celotno tehnično poročilo, ampak za povzetek: kateri obseg je bil testiran, kdaj, od koga, in kakšni so bili ugotovljeni rezultati na visoki in srednji ravni. Povzetek za vodstvo s časom, testnim biroom in stanjem sledenja je v praksi pogosto dovolj. Polno poročilo s podrobnostmi o izkoriščanju pošleš samo, če je to posebej zahtevano, in takrat je pametno preveriti, kaj skrijete prek gumba za zaupnost — zavarovalnica ima interes za zaključek, ne za same tehnične ranljivosti.

Če nisi opravil testiranja penetracije, je »ne, še ni načrtovano« poštenejši odgovor kot praznjenje polja ali pošiljanje starega poročila drugega sistema. Mnoge zavarovalnice to vprašajo kot del širše slike o postopek za odkrivanje in odpravo ranljivosti: testiranje penetracije je tam en dokaz, ne pa cel odgovor. Če testiranje manjka, je pogosto mogoče pokazati, ali potekajo skeniranja, politika popravkov ali drugi proces zaznave — to šteje, tudi brez preskusnega poročila.

Izvor: člen 21(2) in Annex A

Samo testiranje penetracije se ne pojavlja kot samostojna obveznost v členu 21(2) Direktive NIS2; ta navaja deset kategorij ukrepov, vključno s tovrstnim obravnavanjem ranljivosti in oceno učinkovitosti ukrepov. Testiranje penetracije je ena od načinov za dokazovanje te učinkovitosti, poleg primer notranjih revizij — glej tudi ali se učinkovitost varnostnih ukrepov občasno preverja. V ISO/IEC 27001 Annex A penetracijsko testiranje kot poseben kontrolni punkt ni navedeno; spada pod upravne ukrepe za tehnične ranljivosti. Zavarovalnice po tej zakonodaji pogosto vprašajo vseeno, kot svoj pokazatelj tveganja poleg zakonskih ali normativnih zahtev — to je zavarovalniška praksa, ne zakonska obveznost iz NIS2 ali Zakona o kibernetski varnosti.