asiakas kysyy, olemme tehneet penetraatiotestausta, mitä minun sanotaan

Penetraatiotesti kuuluu testaukseen, ei erilliseen kohtaan

Penetraatiotesti on yksi tapa osoittaa, että turvallisuus toimii — ei erillinen vaatimus. Kysymys kuuluu laajempaan aiheeseen kybertoimenpiteiden tehokkuuden määräaikainen testaus. Jos olet suorattanut penetraatiotestin ulkopuolisen osapuolen toimesta viime vuoden aikana, vastaat kyllä ja toimitat raportin tai johtamisyhteenvedon todistusaineistona. Jotkut asiakkaat haluavat nähdä vain testin päivämäärän ja laajuuden, eivät löytyneitä haavoittuvuuksia — tätä varten voit käyttää portaalissa salassapito-painiketta, jos tämä vaihtoehto on saatavilla.

Jos et ole suorittanut penetraatiotestin, "ei" on oikea vastaus — ei "kyllä" viittaamalla johonkin muuhun. Haavoittuvuuksien skannaus, sisäinen koodin tarkastus tai ISO 27001 -sertifiointi eivät ole korvike penetraatiotestille, vaikka ne koskettavatkin samaa aihetta. Jos etsit ja korjaat rakenteisjesti haavoittuvuuksia toisella tavalla, voit selittää tämän vapaamuotoisella tekstikentällä, mutta se on lisäys, ei korvaava "kyllä" penetraatiotestikysymykseen. Jos olet epävarma, onko testiraporttiasi riittävän tuore, turvallisin vaihtoehto on mainita se selityksessä sen sijaan, että jättäisit sen pois.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 kohta (Direktiivi (EU) 2022/2555) mainitsee kymmenen toimenpiteen joukossa nimenomaisesti kyberturvallisuustoimenpiteiden tehokkuuden testauksen ja arvioinnin; penetraatiotesti on sen konkreetein toteutusmuoto. ISO/IEC 27001 -standardin Liite A yhdistää tämän teknisten haavoittuvuuksien hallinnan ja tietojärjestelmien turvallisuuden riippumattoman arvioinnin hallintamenettelyyn. Kyberturvallisuuslaki, Alankomaiden NIS2-direktiivin kotiuttaminen, joka tulee voimaan 15. elokuuta 2026, säätää tämän velvoitteen lain soveltamisalaan kuuluville toimijoille — kysyäksesi, edustaako asiakkaasi sellaista pakollista osapuolta, ja testaa siksi, ovatko yritys itse NIS2:n tai kansallisen kotiuttamisen soveltamisalalla ymmärtääksesi, miksi tämä kysymys on ollenkaan listalla.