klient küsib penetratietesti tulemuste kohta, kuid me pole kunagi penetratietesti läbi viinud

Penetratietesti mitteviimine ei ole automaatne ei

Penetratietest — penetratietest, kus keegi aktiivselt proovib teie süsteemidesse sissepoole murda, et leida nõrkusi — on üks võimalik tõhususe hindamine, kuid mitte ainus. NIS2 artikli 21 lõike 2 järgi nõutakse "poliitika ja menetlused meetmete tõhususe hindamiseks" ilma penetratietesti ette kirjutamata. Samuti mainib ISO/IEC 27001 Annex A tehnilist haavatavuste juhtimist ja hindamist, kuid ei sunni konkreetset testimismeetodit. Seega saate sageli ausalt "ei, mitte veel" täita ilma et see oleks blokeeriv vastus — see on kümmest meetmest üks, mitte ainus.

Mis loeb alternatiivse tõendina: automatiseeritud haavatavuste skannimine, paikade parandamise protsess või riskianalüüs, millest nähtub, et penetratietesti peeti vajalikuks arvestades teie süsteemide mahtu. Kontrollige protsess haavatavuste tuvastamiseks ja parandamiseks kas teil seal midagi juba käib — tavaliselt on, isegi ilma et seda "penetratietestiks" kutsutaks. Kui teie dossier seda tõendidokumenti ei sisalda, ei paku süsteem "jah" valikut: te saate siis küsimuse tühja vastusega ja te ise otsustate, kas täidad "ei" või lasid kõigepealt skannimisel käia. Mõned kliendid aktsepteerivad lubadust ("plaanitakse Q-nii palju") vahepealse vastusena; seda saate teada alles pärast esitamist nende portaalis.

Millele see tugineb: artikli 21 lõik 2 ja Annex A

Perioodilise hindamise kohustus tuleneb Direktiivi (EL) 2022/2555 artikli 21 lõikest 2, mis nimetab "poliitika ja menetlused küberturvalisuse riskijuhtimise meetmete tõhususe hindamiseks" üheks kümnest meetmest, kõrvuti — mitte asemel — haavatavuste juhtimisega. ISO/IEC 27001 Annex A töötab seda välja tehniliste haavatavuste ja hindamisega seotud kontrollimeetmete kaudu, nimetamata penetratietesti kohustusliku vahendina. Kas teie organisatsioon kuulub otseste NIS2-kohustuste alla, sõltub sektorist ja mahust — selle määrate selle küsimuse käigus eraldi, näiteks küsimus, kas ettevõte ise kuulub NIS2 alla.