ο πελάτης ρωτά εάν έχουμε διεξαγάγει δοκιμή διείσδυσης τι λέω

Η pentest εμπίπτει στον έλεγχο, όχι σε ένα ξεχωριστό πεδίο

Ένα pentest (δοκιμή διείσδυσης) είναι ένας τρόπος για να αποδειχθεί ότι η ασφάλεια λειτουργεί — όχι μια ξεχωριστή απαίτηση. Το ερώτημα αναφέρεται στο ευρύτερο θέμα του περιοδικής αξιολόγησης της αποτελεσματικότητας των μέτρων. Εάν έχετε διενεργήσει pentest το περασμένο έτος από εξωτερικό τρίτο, τότε απαντάτε «ναι» και υποβάλετε την αναφορά ή την περίληψη διαχείρισης ως απόδειξη. Ορισμένοι πελάτες θέλουν να δουν μόνο την ημερομηνία και το πεδίο εφαρμογής της δοκιμής, όχι τις ίδιες τις ευρεθείσες ευπάθειες — για αυτό μπορείτε να χρησιμοποιήσετε το κουμπί εμπιστευτικότητας στο portal εάν υπάρχει αυτή η δυνατότητα.

Εάν δεν έχετε διενεργήσει pentest, τότε το «όχι» είναι η σωστή απάντηση — όχι «ναι» με παραπομπή σε κάτι άλλο. Μια σάρωση ευπαθειών, μια εσωτερική αναθεώρηση κώδικα ή η πιστοποίηση ISO 27001 δεν αποτελούν υποκατάστατο pentest, ακόμη και αν αφορούν το ίδιο θέμα. Εάν πράγματι ανιχνεύσετε και διορθώσετε ευπάθειες με άλλο τρόπο, μπορείτε να το αναφέρετε στο πεδίο ελεύθερου κειμένου, αλλά αυτό είναι συμπλήρωση, όχι ένα εναλλακτικό «ναι» στο ίδιο το ερώτημα pentest. Εάν αμφιβάλλετε για το εάν η δική σας αναφορά δοκιμής είναι αρκετά πρόσφατη για να ισχύει, τότε η ασφαλέστερη επιλογή είναι να το αναφέρετε στην επεξήγηση αντί να το παραλείψετε.

Όπου προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 (Οδηγία (ΕΕ) 2022/2555) αναφέρει ρητώς μεταξύ των δέκα μέτρων την δοκιμή και αξιολόγηση της αποτελεσματικότητας των μέτρων κυβερνοασφάλειας· ένα pentest είναι η πιο συγκεκριμένη μορφή εκτέλεσής τους. Το ISO/IEC 27001 Annex A συνδέει αυτό με το μέτρο ελέγχου που σχετίζεται με την τεχνική διαχείριση ευπαθειών και ανεξάρτητη αξιολόγηση της ασφάλειας πληροφοριών. Το Νόμο Κυβερνοασφάλειας, την ολλανδική υλοποίηση του NIS2 που τίθεται σε ισχύ στις 15 Αυγούστου 2026, θέσπισε αυτή την υποχρέωση για τις οντότητες που εμπίπτουν στο πεδίο εφαρμογής του νόμου — επομένως ρωτήστε αν η επιχείρηση ο ίδιος εμπίπτει στο πεδίο εφαρμογής του NIS2 ή της εθνικής υλοποίησης για να κατανοήσετε γιατί υπάρχει καν αυτό το ερώτημα στη λίστα.