Testataan turvatoimien tehokkuutta säännöllisesti?

Testaus on osa itse toimenpidettä, ei erillinen kohta

Kyllä, useimmissa tapauksissa — mutta ei erillisenä kysymyksenä, koska NIS2-direktiivin 21 artiklan 2 kohta muotoilee sen politiikan ja menettelyjen piirteeksi, ei erillisenä testausvaatimuksena. Kohdan (a) riskianalyysin ja tietojärjestelmien suojaamisen politiikassa ja kohdan (b) poikkeamien käsittelyssä on säännöllinen arviointi tavallisesti osana sitä, mitä "asianmukainen" politiikka tarkoittaa. Jos organisaatio voi osoittaa, että toimenpiteitä tarkastellaan säännöllisesti — poikkeaman jälkeen, penetraatiotestin jälkeen, auditin havainnon jälkeen — se täyttää sen, mitä asiakkaan kysymyksellä itse asiassa halutaan nähdä: toimivaa hallintajärjestelmää, ei hetkeen perustuva tilannekuva yhdestä asiakirjasta.

Jos organisaatio ISO 27001 -sertifioitu on, tämä on yleensä helpoin todiste: standardi vaatii itseään sisäisiä auditointeja ja johdon katselmusta, ja nämä asiakirjat osoittavat suoraan, että testaus tapahtuu. Ilman sertifikaattia sama voidaan perustella penetraatiotestiraportin, sisäisen arvioinnin raportin tai muistiinpanojen avulla, joissa turvatoimia käsiteltiin ja muutettiin. Jos näyttöä puuttuu kokonaan, "ei" tai "kehitteillä" on rehellisempi vastaus kuin kyllä ilman liitettävää asiakirjaa — varsinkin koska tämä kysymys esitetään usein yhdessä riskianalyysin politiikankanssa, ja ristiriita kahden vastauksen välillä huomataan, kun asiakas lukee molemmat.

Missä tämä esiintyy ohjeistuksessa: artikla 21 luku 2

NIS2-direktiivin 21 artiklan 2 kohta mainitsee kymmenen kategorian toimenpiteet, joiden on oltava "asianmukaisia ja oikeassa suhteessa", ja direktiivin perustelut yhdistävät oikeassa suhteessa olemisen jatkuvaan riskienarviointiprosessiin — ei kertaluonteiseen toimintoon. Nimenomaisesti erillisestä vaatimuksesta "turvatoimien tehokkuuden säännölliseen testaukseen" erillisenä artiklana ei ole; se johtuu kohdan (a) riskianalyysin politiikan ja kohdan (b) poikkeamien käsittelyn yhdistelmästä, jossa poikkeamista opit ja säännöllinen riskienarvinointiprosessi johtavat loogisesti toimenpiteiden muuttamiseen. Tarkan tekstin saamiseksi on katsotava alkuperäiseen direktiiviin.