kyselylomake kysyy, olemmeко suorittaneet penetraatiotestin

Pentest on todiste, ei erillinen vaatimus

Pentest — penetraatiotesti, jossa joku yrittää aktiivisesti murtautua järjestelmään — ei ole yksi kymmenestä artiklan 21 kohdan 2 mukaisesta erillisen pakollisen elementin vaatimuksesta. Kysymys tulee yleensä riskienhallintaa ja haavoittuvuuksia koskevasta toimenpiteestä: asiakas haluaa tietää, testataanko vai pysyykö turvallisuutesi käytännössä, ei vain paperilla. Sama koskee ISO/IEC 27001 -standardia: liite A ei mainitse pakollista pentestiä, vaan teknistä haavoittuvuuksien hallintaa, ja pentest on siitä konkretisoin, jonka auditoijat tunnistavat.

Jos et ole koskaan laskea pentestiä, "ei" on oikea vastaus — "kyllä" ehdottaminen ilman raporttia ei ole perusteltavissa. Monet yritykset täyttävät tämän, mitä niillä on: haavoittuvuuksien skannaus, ulkoinen auditointi tai käynnissä oleva prosessiin haavoittuvuuksien havaitsemiseksi ja korjaamiseksiSe ei ole sama kuin pentest, mutta se osoittaa, että jokin on olemassa. Se, selitätkö tätä eroa asiakkaalle, on sinun päätöstä; vastauskenttä itsessään pysyy tosiasiallisena. Jos olet laskea pentestin, raportti — tai tiivistelmä siitä — on todiste, joka sopii "kyllä" -vastaukseen, mahdollisesti luottamuksellisuuspainikkeella, jos et halua jakaa yksityiskohtia.

Missä tämä tulee: artikla 21 ja liite A

Neuvoston direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 mukainen haavoittuvuuksien hallinta ja toimenpiteiden tehokkuuden arviointi ovat pakollisia osia, ilman että pentest-menetelmää määrätään. Kyberturvallisuuslaki ottaa tämän velvollisuuden, kun se tulee voimaan. ISO/IEC 27001 liite A kehittää tätä edelleen teknisen haavoittuvuuksien hallinnan valvontatoimenpiteissä, joihin pentest kuuluu yleisen käytännön mukaisesti. Joka voi osoittaa, että turvatoimien tehokkuutta testattu säännöllisesti usein jo osa vastaus on olemassa, vaikka sana pentest ei esiintyisikään omassa tiedostossasi.