spørgeskema spørger, om vi har udført en penetrationstest

Pentest er bevis, ikke et selvstændigt krav

En pentest — en penetrationstest, hvor nogen aktivt forsøger at bryde ind i et system — figurerer ikke som separat obligatorisk element i nogen af de ti foranstaltninger i artikel 21, stk. 2. Spørgsmålet kommer oftest fra foranstaltningen om risikostyring og sårbarheder: kunden vil vide, om du tester, eller din sikkerhed holder i praksis, ikke blot på papir. Det samme gælder ISO/IEC 27001: Annex A nævner ingen obligatorisk pentest, men derimod teknisk sårbarheds­styring, og en pentest er den mest konkrete udfyldning heraf, som revisorer genkender.

Hvis du aldrig har ladet udføre en pentest, er "nej" det korrekte svar — at fremstille et "ja" uden rapport kan ikke underbygges. Mange virksomheder udfylder dette med det, de har gjort: en sårbarheds­scanning, en ekstern audit eller en igangværende processen for at opdage og udbedre sårbarheder. Det er ikke det samme som en pentest, men det viser, at der alligevel er gjort noget. Om du ønsker at præcisere denne forskel over for kunden, er op til dig; selve svarfeltet forbliver faktuel. Hvis du reelt har udført en pentest, er rapporten — eller en opsummering af den — det bevisstykke, der passer til et "ja", eventuelt med fortrolighedsfunktionen, hvis du ikke ønsker at dele detaljerne.

Hvor dette stammer fra: artikel 21 og Annex A

Artikel 21, stk. 2 i Direktiv (EU) 2022/2555 nævner sårbarheds­styring og vurdering af foranstaltningers effektivitet som obligatoriske elementer, uden at foreskrive en pentest som metode. Cybersikkerhedsloven overtager denne forpligtelse, når den træder i kraft. ISO/IEC 27001 Annex A udvikler dette videre under kontrol­foranstaltninger for teknisk sårbarheds­styring, hvor en pentest falder ind under almindelig praksis. Den, der kan påvise, at effektiviteten af sikkerhedsforanstaltningerne kontrolleret med jævne mellemrum er ofte allerede skrevet, selv uden ordet pentest optræder i det egne dossier.