klijen pita jesmo li proveli penetracijsko testiranje, što trebam odgovoriti

Izvještaj o penttestu je dokaz, ne samostalni zahtjev

Pentest — penetracijski test, pri kojem se netko aktivno pokušava provaliti u tvoje sustave — nigdje se ne navodi kao odvojeni obavezni dokument u članku 21. stavku 2. NIS2. Zahtjev tvoga klijenta spada pod mjeru ispitivanja i ocjenjivanja učinkovitosti mjera kibernetske sigurnosti, a izvještaj o penttestu je za to konkretna dokaz koji postoji. Ako ga imaš, odgovor je obično da. Ako nikad nisi proveo pentest, odgovor je ne — i sam po sebi to nije problem, sve dok drugdje možeš dokazati da redovito provjeravaš učinkovitost sigurnosnih mjerana primjer unutarnjim revizijama ili skeniranjem ranjivosti.

Pazite kod ispunjavanja na to što se točno traži: sam izvještaj o penttestu ili samo potvrda da se testiranje provodi. Neki portali zahtijevaju izvještaj kao prilog — to je drugačiji zahtjev od da/ne-pitanja, a izvještaji često sadrže osjetljive tehničke pojedinosti. Za to postoji gumb povjerljivosti: sam odlučuješ hoćeš li i s kim dijeliti kompletan dokument, odvojeno od toga je li odgovor da ili ne. Ako si proveo pentest ali nedostaje povezanost s praćenjem pronađenih ranjivosti, provjeri i je li tvoj proces za pronalaženje i otklanjanje ranjivosti već dio toga — mnogi klijenti naime to pitaju u istom odjeljku.

Odakle to proizlazi iz ISO 27001 i NIS2

Prilog A ISO/IEC 27001 nema odvojene točke kontrole "pentest", ali se mjere upravljanja u praksi često o tehničkom upravljanju ranjivostima i o neovisnoj procjeni sigurnosti informacija često potvrđuju rezultatima pentestiranja. NIS2, članak 21. stavak 2., pod deset mjera nabraja kako ispitivanje i ocjenjivanje politike tako i upravljanje ranjivostima i njihovo objavljivanje kao odvojene dijelove — izvještaj o penttestu obično služi kao dokaz za prvi, a praćenje toga za drugi.