asiakas haluaa tietää, kuinka usein annamme järjestelmämme testattavaksi

Ei määrättyä kiinteää taajuutta

Lakitekstissä ei ole numeroa. NIS2:n 21 artiklan 2 kohdan f alakohdassa mainitaan "kyberturvallisuusriskien hallinnan valvontatoimien tehokkuuden arvioimiseksi laaditut politiikka ja menettelyt" — pentestaus on sen konkreetein täytäntöönpano, mutta kuinka usein se on tehtävä, jää direktiivin määrittelemättä. Myös Kyberturvallisuuslaki, joka pian siirtää tämän artiklan Suomen oikeusjärjestykseen, ei odotuksissa lisää siihen kiinteää aikaväliä. Asiakkaasi kysymyslista täyttää tämän aukon itse: monet muodot kysyvät konkreettisesti "vähintään vuosittain" tai "merkittävien muutoksien yhteydessä", mutta se on asiakkaan normi, ei lain normi.

Mitä voit käytännössä täyttää, on siis oma rytmisi, ei pakollinen rytmi. Testataanko vuosittain, jokaisen suuren julkaisun jälkeen vai vain tapauskohtaisesti vian jälkeen? Vastaus on yleensä erillisenä asiakirjana ketjuarkistossa — päivämäärän ja viimeisen testin laajuuden kera — etsi pentestausraporttia tai sen johtamisen yhteenvetoa. Jos sinulla ei ole vielä kiinteää taajuutta, niin "tapauskohtaisesti, viimeksi suoritettu [päivämäärä]" on rehellisempi vastaus kuin keksitty taajuus, jota et noudata. Tämä kysymys on usein samassa osiossa kuin haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa — pentestaus on yksi keino haavoittuvuuksien löytämiseen, skannaus ja korjauspolitiikka ovat muita.

ISO 27001 epäsuorana tukipisteenä

Kuka on ISO 27001 -sertifioitu, on yleensä Annex A -toimenpiteidensä kautta jo määritellyt sisäisen politiikan säännölliselle arvioinnille, mukaan lukien taajuus, jonka organisaatio on itse valinnut riskinarviointinsa yhteydessä. Tämä tekee kysymyksen ISO 27001 -sertifikaatista asiaan kuuluvaksi taustalla olevana todisteena: ei siksi, että sertifikaatti määräisi pentestauksen taajuuden, vaan koska se osoittaa, että on olemassa vakiintunut testausohje, josta tämä taajuus voidaan päätellä.