klient tahab teada, kui sageli me oma süsteeme testida laseme

Ei ole määratud fikseeritud sagedust

Seadusandluse tekstis puudub arv. NIS2 artikkel 21 lõige 2 nimetab punktis f "poliitika ja protseduurid, et hinnata küberjulgeolekuriskide haldustoimete tõhusust" — eetilise häkkimise test on selle konkreetseim täitmine, kuid kui sageli see peab toimuma, jätab direktiiv lahti. Ka Küberjulgeolekuseadus, mis peagi rakendab selle artikli Eesti õigusesse, ei lisa sellele oodatavasti fikseeritud intervalli. Sinu kliendi küsimustik täidab selle tühimiku ise: paljud vormingud küsivad konkreetselt "vähemalt igal aastal" või "oluliste muudatuste korral", kuid see on selle kliendi norm, mitte seaduse norm.

Praktikas saad täita oma rütmi, mitte kohustuslikku rütmi. Tesid igal aastal, iga suure väljalaske järel või ainult ad hoc pärast intsidenti? See vastus on koos viimase testi kuupäeva ja ulatusega tavaliselt eraldi dokumendina ketidossees — otsi eetilise häkkimise raporti või selle juhtimisjuhendi kokkuvõtet. Kui sul veel fikseeritud sagedust pole, on "ad hoc, viimati teostatud [kuupäev]" ausam vastus kui sagedus välja mõelda, mida sa ei järgi. See küsimus kuulub sageli samasse blokki mis protsess haavatavuste tuvastamiseks ja parandamiseks — eetilise häkkimise test on üks viis haavatavusi leida, skaneerimine ja paigapanemise poliitika on teised.

ISO 27001 kaudseks toetuseks

Kes on ISO 27001-sertifitseeritud, on määrinud Annex A-abinõuede kaudu tavaliselt juba sisemise poliitika perioodiliseks kontrollimiseks, sealhulgas sageduse, mille organisatsioon valus riskihinnangul. See teeb küsimuse ISO 27001-sertifikaadi kohta asjakohaseks taustaks: mitte seetõttu, et sertifikaat määrab eetilise häkkimise testi sagedust, vaid seetõttu, et see näitab, et kehtestatud kontrollimise poliitika eksisteerib, millest see sagedus tuleneb.