ο πελάτης ρωτά για τα αποτελέσματα δοκιμής διείσδυσης αλλά δεν κάναμε ποτέ δοκιμή διείσδυσης

Δεν έχει γίνει penetration test δεν είναι αυτόματο όχι

Ένα penetration test — ένα penetration test, όπου κάποιος προσπαθεί ενεργά να εισβάλει στα συστήματά σας για να βρει αδύναμα σημεία — είναι μία πιθανή δοκιμή της αποτελεσματικότητας, αλλά όχι η μόνη. Το άρθρο 21 παράγραφος 2 του NIS2 ζητά «πολιτικές και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων», χωρίς να προβλέπει ένα penetration test. Το Παράρτημα Α του ISO/IEC 27001 αναφέρει επίσης τη διαχείριση τεχνικών ευπαθειών και τη δοκιμή, αλλά δεν επιβάλλει κανέναν συγκεκριμένο τύπο δοκιμής. Μπορείτε συχνά να συμπληρώσετε ειλικρινά «όχι, όχι ακόμα» χωρίς αυτό να είναι ένα αποκλειστικό απάντημα — είναι ένα από τα δέκα μέτρα, όχι το μόνο.

Τι μετράει ως εναλλακτικό απόδειξη: αυτοματοποιημένες σαρώσεις ευπαθειών, μια διαδικασία εφαρμογής patches ή μια ανάλυση κινδύνου που δείχνει ότι ένα penetration test δεν θεωρήθηκε ακόμα απαραίτητο λαμβάνοντας υπόψη το μέγεθος των συστημάτων σας. Ελέγξτε στο τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών αν έχετε ήδη κάτι σε εξέλιξη — συχνά ναι, ακόμα και χωρίς να ονομάζεται «penetration test». Αν το δοσιέ σας δεν έχει αυτό το απόδειξη, το σύστημα δεν προτείνει «ναι»: λαμβάνετε τότε μια ερώτηση με ένα κενό απάντημα, και εσείς αποφασίζετε αν συμπληρώνετε «όχι» ή πρώτα τρέχετε μια σάρωση. Ορισμένοι πελάτες δέχονται μια δέσμευση («προγραμματίζεται στο Q-τόσο») ως ενδιάμεσο απάντημα· αυτό το ξέρετε μόνο μετά την υποβολή στη δική τους πύλη.

Σε τι στηρίζεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα Α

Η υποχρέωση περιοδικής δοκιμής προκύπτει από το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555, που αναφέρει την «πολιτική και διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων διαχείρισης κινδύνου κυβερνοασφάλειας» ως ένα από τα δέκα μέτρα, δίπλα — όχι αντί — διαχείριση ευπαθειών. Το ISO/IEC 27001 Παράρτημα Α το αναπτύσσει περαιτέρω σε ελέγχους γύρω από τεχνικές ευπάθειες και αξιολόγηση, χωρίς να αναφέρει ένα penetration test ως υποχρεωτικό εργαλείο. Το κατά πόσον ο οργανισμός σας υπάγεται στις άμεσες υποχρεώσεις του NIS2 εξαρτάται από τον τομέα και το μέγεθος — αυτό το καθορίζετε ξεχωριστά από αυτήν την ερώτηση, για παράδειγμα μέσω το ερώτημα του αν η επιχείρηση αυτή εμπίπτει στο NIS2.