το ερωτηματολόγιο ρωτά αν έχουμε διεξαγάγει penetration test

Το pentest είναι απόδειξη, όχι ξεχωριστή απαίτηση

Ένα pentest — ένα penetration test, όπου κάποιος προσπαθεί ενεργά να εισβάλει σε ένα σύστημα — δεν αναφέρεται σε κανένα από τα δέκα μέτρα του άρθρου 21 παράγραφος 2 ως ξεχωριστό υποχρεωτικό στοιχείο. Το ερώτημα προέρχεται συνήθως από το μέτρο σχετικά με τη διαχείριση κινδύνου και τις ευπάθειες: ο πελάτης θέλει να γνωρίζει αν δοκιμάζεις ότι η ασφάλειά σου λειτουργεί στην πράξη, όχι μόνο στο χαρτί. Το ίδιο ισχύει για το ISO/IEC 27001: το Annex A δεν αναφέρει υποχρεωτικό pentest, αλλά τεχνικό έλεγχο ευπαθειών, και ένα pentest είναι η πιο συγκεκριμένη υλοποίηση αυτού που αναγνωρίζουν οι ελεγκτές.

Αν δεν έχεις κάνει pentest, τότε το "όχι" είναι η σωστή απάντηση — δεν είναι δυνατό να υποστηριχθεί ένα "ναι" χωρίς αναφορά. Πολλές εταιρείες συμπληρώνουν αυτό με ό,τι έχουν: ένα σάρωμα ευπαθειών, ένα εξωτερικό audit ή ένα τρέχον διαδικασία ανίχνευσης και διόρθωσης ευπαθειώνΑυτό δεν είναι το ίδιο με ένα pentest, αλλά δείχνει ότι υπάρχει κάτι. Αν θα ήθελες να εξηγήσεις αυτή τη διαφορά στον πελάτη, εξαρτάται από σένα· το ίδιο το πεδίο απάντησης παραμένει γεγονός. Αν έχεις κάνει pentest, τότε η αναφορά — ή μια περίληψή της — είναι το αποδεικτικό στοιχείο που ταιριάζει σε ένα "ναι", ενδεχομένως με το κουμπί εμπιστευτικότητας αν δεν θέλεις να μοιραστείς τις λεπτομέρειες.

Πού προέρχεται αυτό: άρθρο 21 και Annex A

Το άρθρο 21 παράγραφος 2 της Οδηγίας (ΕΕ) 2022/2555 αναφέρει τη διαχείριση ευπαθειών και την αξιολόγηση της αποτελεσματικότητας των μέτρων ως υποχρεωτικά στοιχεία, χωρίς να προσδιορίζει το pentest ως μέθοδο. Ο Νόμος Κυβερνοασφάλειας ενσωματώνει αυτή την υποχρέωση μόλις τεθεί σε ισχύ. Το ISO/IEC 27001 Annex A το αναπτύσσει περαιτέρω στο πλαίσιο των ελέγχων για τεχνικό έλεγχο ευπαθειών, όπου ένα pentest εμπίπτει ως κοινή πρακτική. Αυτός που μπορεί να αποδείξει ότι η αποτελεσματικότητα των μέτρων ασφάλειας αξιολογείται περιοδικά συχνά έχει ήδη ένα μέρος της απάντησης, ακόμα και χωρίς η λέξη pentest να εμφανίζεται στο δικό του δοσιέ.