můj pojišťovatel chce vidět zprávu o testu penetrace, co musím poskytnout

Co si pojišťovna představuje pod pojmem "zpráva o penetračním testování"

Obvykle pojišťovna nežádá úplnou technickou zprávu, ale shrnutí: jaký rozsah byl testován, kdy, kdo test prováděl a jaké byly nálezy na vysoké a střední úrovni. Souhrn pro vedení s datem, testovací laboratoří a stavem řešení nálezů je v praxi často dostačující. Úplnou zprávu s detaily exploitů posíláš pouze v případě, že o to bude výslovně požádáno, a pak je rozumné zvážit, co si chráníš pomocí tlačítka důvěrnosti — pojišťovna má zájem o závěr, nikoli o technické zranitelnosti samotné.

Pokud jsi neprovádět žádný penetrační test, pak je "ne, zatím neplánováno" poctivější odpověď než nechat pole prázdné nebo poslat starou zprávu z jiného systému. Mnoho pojišťoven se na to ptá jako součást širšího přehledu o proces pro identifikaci a nápravy zranitelnostítu: penetrační test je jedním důkazním materiálem, nikoli celou odpovědí. Pokud test chybí, lze často ukázat, zda běží skenování, zásady oprav nebo jiný proces detekce — to se také počítá, i bez zprávy o testování.

Odkud to pochází: článek 21 odst. 2 a příloha A

Penetrační test jako takový není samostatným požadavkem v článku 21 odst. 2 směrnice NIS2; ten uvádí deset kategorií opatření, včetně řešení zranitelností a posuzování účinnosti opatření. Penetrační test je jedním ze způsobů, jak prokázat tuto účinnost, vedle například interního auditu — viz také nebo se účinnost bezpečnostních opatření pravidelně ověřujev normě ISO/IEC 27001 Příloha A se penetrační testování jako samostatný kontrolní bod nevyskytuje; spadá pod správní opatření pro technické zranitelnosti. Pojišťovny se na to často ptají nezávisle na těchto právních předpisech jako na svůj vlastní indikátor rizika vedle právních nebo normativních požadavků — jde o pojišťovnskou praxi, nikoli o právní povinnost vyplývající z NIS2 nebo zákona o kybernetické bezpečnosti.