fragelista frågar om vi har genomfört ett pentest

Pentest är bevis, inte ett fristående krav

Ett pentest — ett penetrationstest, där någon aktivt försöker bryta sig in i ett system — är inte ett separat obligatoriskt element i någon av de tio åtgärderna i artikel 21 punkt 2. Frågan kommer oftast från åtgärden om riskhantering och sårbarheter: kunden vill veta om du testar eller om din säkerhet håller i praktiken, inte bara på papper. Samma sak gäller för ISO/IEC 27001: Bilaga A nämner inget obligatoriskt pentest, men väl teknisk sårbarhetshantering, och ett pentest är den mest konkreta genomförningen av det som revisorer känner igen.

Om du aldrig har låtit genomföra ett pentest, är "nej" det rätta svaret — att föreslå "ja" utan rapport går inte att underbygga. Många företag fyller i detta med det de faktiskt har gjort: en sårbarhetsöverscan, en extern revision, eller ett pågående processen för att upptäcka och åtgärda säkerhetsbristerna. Det är inte samma sak som ett pentest, men det visar att det finns något på plats. Huruvida du förklarar den skillnaden för kunden är upp till dig; själva svarsfältet förblir faktiskt. Om du faktiskt har genomfört ett pentest, är rapporten — eller en sammanfattning av den — det bevisstycke som passar till ett "ja", eventuellt med konfidentialitetsknappen om du inte vill dela detaljerna.

Var detta kommer från: artikel 21 och Bilaga A

Artikel 21 punkt 2 i direktiv (EU) 2022/2555 nämner sårbarhetshantering och bedömning av åtgärdernas effektivitet som obligatoriska element, utan att föreskriva ett pentest som metod. Cybersäkerhetskyddslagen övertar denna förpliktelse när den träder i kraft. ISO/IEC 27001 Bilaga A utvecklar detta vidare under kontrollåtgärderna för teknisk sårbarhetshantering, där ett pentest faller under vanlig praxis. Den som kan visa att säkerhetsåtgärdernas effektivitet med jämna mellanrum genomförs, har ofta redan en del av svaret på plats, även utan att ordet pentest förekommer i den egna dokumentationen.