moj osiguravač traži da vidim izvještaj o penetracijskom testiranju, što trebam dostaviti

Što osiguravač s "izvještajem o penetracijskom testiranju" misli

Obično osiguravač ne traži cijeli tehnički izvještaj, već sažetak: koji je opseg testiran, kada, od strane koga, i koja su bila nalaza na visokoj i srednjoj razini. Sažetak za voditeljstvo s datumom, testnom agencijom i statusom praćenja je u praksi često dovoljan. Potpuni izvještaj s detaljima o iskorištavanju zaliha ranjivosti šalješ samo ako se to specifično traži, a tada je pametno provjeriti što maskiruješ putem gumba za povjerljivost — osiguravač je zainteresiran za zaključak, ne za same tehničke ranjivosti.

Ako nisi proveo penetracijsko testiranje, tada je "ne, još nije planirano" iskreniji odgovor nego da ostaviš polje prazno ili da pošalješ stari izvještaj iz drugog sustava. Mnogi osiguravači postavljaju ovo pitanje kao dio šire slike o postupak za otkrivanje i ispravljanje ranjivosticertifikaciji: penetracijsko testiranje je jedan dokaz od toga, nije cijeli odgovor. Ako nedostaje penetracijsko testiranje, često se može pokazati jesu li pokrenuti skeneri, postupci zakrpa ili neki drugi proces otkrivanja — to se računa, čak i bez izvještaja o testiranju.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Penetracijsko testiranje samo po sebi nije izdvojena obveza u članku 21. stavku 2. Direktive NIS2; taj članak navodi deset kategorija mjera, uključujući rukovanje ranjivostima i procjenu učinkovitosti mjera. Penetracijsko testiranje je jedan način da se dokažu mjere učinkovitosti, pored primjerice internih revizija — vidi također ili se učinkovitost sigurnosnih mjera povremeno provjeravalaPenetracijsko testiranje se u ISO/IEC 27001 Prilog A ne pojavljuje kao odvojena kontrolna točka; spada pod mjere upravljanja tehničkim ranjivostima. Osiguravači često o tome pitaju neovisno o ovoj regulativi, kao vlastiti pokazatelj rizika pored zakonskih ili normativan zahtjeva — to je praksa osiguranja, ne zakonska obveza iz NIS2-a ili Zakona o kibernetičkoj sigurnosti.