zákazník chce vědět, jak často necháváme testovat naše systémy

Není předepsaná pevná frekvence

Číselná hodnota není uvedena v textu zákona. Článek 21 odst. 2 NIS2 uvádí v bodě f "politiky a postupy pro vyhodnocování účinnosti opatření v oblasti řízení rizik kybernetické bezpečnosti" — penetrační test je nejkonkrétnější naplnění tohoto, ale jak často musí proběhnout, je ponecháno na uvážení směrnice. Ani Zákon o kybernetické bezpečnosti, který má tento článek brzy transponovat do českého práva, patrně nepřidá pevný interval. Dotazník tvého zákazníka vyplňuje tuto mezeru sám: mnoho formulářů konkrétně ptá na "minimálně ročně" nebo "při významných změnách", ale to je norma tvého zákazníka, nikoliv zákona.

To, co v praxi můžeš vyplnit, je tedy tvé vlastní tempo, ne povinné tempo. Testujete ročně, po každé větší verzi, nebo pouze ad hoc po incidentu? Tato odpověď se obvykle nachází s datem a rozsahem posledního testu jako samostatný dokument v řetězovém spisu — hledej zprávu o penetračním testu nebo její shrnutí managementu. Nemáš-li ještě pevnou frekvenci, pak je "ad hoc, naposledy provedeno dne [datum]" čestnější odpověď než vymýšlení frekvence, kterou nezvládáš. Tato otázka se často vyskytuje ve stejném bloku jako procesem pro odhalování a odstraňování slabých míst — penetrační test je jeden ze způsobů, jak najít zranitelnosti, skenování a zásady oprav jsou další.

ISO 27001 jako nepřímá opora

Kdo je certifikován ISO 27001, již prostřednictvím opatření Přílohy A obvykle zavázal interní politiku pro pravidelné testování, včetně frekvence, kterou si organizace zvolila při posouzení rizik. To činí dotaz na certifikát ISO 27001 relevantní jako podpůrný důkaz: ne proto, že by certifikát předepisoval frekvenci penetračního testování, ale proto, že dokazuje existenci stanoveného testovacího zásad, z nichž lze tuto frekvenci odvodit.