zákazník se ptá, zda jsme nechali provést test penetrace, co mám odpovědět

Zpráva z pentestu je důkaz, nikoli samostatná povinnost

Pentest — penetrační test, při kterém se někdo aktivně pokouší proniknout do vašich systémů — není nigde v článku 21 odstavec 2 NIS2 uveden jako samostatný povinný dokument. Požadavek vašeho zákazníka spadá pod opatření týkající se testování a hodnocení účinnosti kybernetických bezpečnostních opatření, a zpráva z pentestu je pro to nejkonkrétněji dostupným důkazem. Máte-li ji, odpověď je obvykle ano. Nikdy jste nenechali provést pentest, odpověď je ne — a to samo o sobě není problém, pokud můžete jinde prokázat, že účinnost bezpečnostních opatření pravidelně ověřujete, například prostřednictvím interních auditů nebo skenů zranitelností.

Při vyplňování věnujte pozornost tomu, co se přesně požaduje: samotná zpráva z pentestu nebo pouze potvrzení toho, že se testování provádí. Některé portály žádají zprávu jako přílohu — to je jiný požadavek než otázka ano/ne, a zprávy často obsahují citlivé technické podrobnosti. Pro to existuje tlačítko důvěrnosti: sami rozhodujete, zda a s kým sdílíte úplný dokument, nezávisle na tom, zda je odpověď ano nebo ne. Máte-li pentest, ale chybí spojení se sledováním zjištěných zranitelností, zkontrolujte také, zda váš postup pro zjišťování a nápravu zranitelností tam již není zahrnut — mnoho zákazníků to totiž v této sekci žádá.

Kde to vyplývá z ISO 27001 a NIS2

Příloha A normy ISO/IEC 27001 nemá samostatný kontrolní bod "pentest", ale opatření o technické správě zranitelností a o nezávislém posouzení bezpečnosti informací se v praxi často podpořují výsledky pentestů. NIS2, článek 21 odstavec 2, mezi deseti opatřeními uvádí testování a hodnocení politiky i správu zranitelností a jejich zveřejňování jako samostatné prvky — zpráva z pentestu obvykle slouží jako důkaz pro prvý a její sledování pro druhý.