zákazník se ptá na výsledky penetračního testu, ale my jsme nikdy neprováděli penetrační test

Neprovedený pentest není automatická negace

Pentest — penetrační test, při kterém se někdo aktivně pokouší proniknout do vašich systémů, aby našel slabá místa — je jedním z možných testu účinnosti, ale ne jediným. Článek 21 odstavec 2 NIS2 vyžaduje "politiku a postupy k posouzení účinnosti opatření" bez předepsání pentestů. Také Příloha A normy ISO/IEC 27001 zmiňuje technickou správu zranitelností a testování, ale nenutí konkrétní testovací metodu. Můžete tedy často upřímně vyplnit "ne, ještě ne" bez toho, aby to bylo blokující odpověď — je to jedno z deseti opatření, ne jediné.

Co se počítá jako alternativní důkaz: automatizované skenování zranitelností, proces oprav nebo analýza rizik, z níž vyplývá, že pentest nebyl vzhledem k rozsahu vašich systémů považován za nutný. Zkontrolujte u procesem pro odhalování a odstraňování slabých míst zda tam už něco běží — často to tak je, i když se tomu "pentest" neříká. Pokud váš dossier toto důkazní materiál nemá, systém nenabídne "ano": dostanete pak otázku s prázdnou odpovědí a sami se rozhodujete, zda vyplníte "ne" nebo si nejdříve nechte spustit skenování. Někteří zákazníci akceptují závazek ("je plánován na Q-kolik") jako meziodpověď; to se dozvíte až po odeslání do jejich portálu.

Čím se to opírá: článek 21 odstavec 2 a Příloha A

Povinnost k periodickému testování vyplývá z článku 21 odstavce 2 Směrnice (EU) 2022/2555, která "politiku a postupy k posouzení účinnosti opatření k řízení kybernetických bezpečnostních rizik" uvádí jako jedno z deseti opatření, vedle — ne místo — správy zranitelností. ISO/IEC 27001 Příloha A to rozpracovává v kontrolách týkajících se technických zranitelností a posouzení, bez pojmenování pentestů jako povinného nástroje. Zda vaše organizace spadá pod přímé povinnosti NIS2, závisí na sektoru a velikosti — to si určíte samostatně mimo tuto otázku, například prostřednictvím otázce, zda se podnik sám vztahuje na NIS2.