az ügyfél tudni szeretné, milyen gyakran vizsgáltatjuk a rendszereinket

Nem előírt rögzített gyakoriság

Nincs szám a jogszövegben. Az NIS2 21. cikk 2. bekezdésének f) pontja a "a kibervédelmi kockázatkezelésre vonatkozó irányítási intézkedések hatékonyságát értékelő politikákat és eljárásokat" említi — egy penetrációs teszt ennek a legkonkrétabb megvalósítása, de az irányelv nyitva hagyja, hogy milyen gyakran kell végrehajtani. A Kibervédelmi törvény is, amely ezt a cikket hamarosan átültetni fogja a magyar jogrendbe, várhatóan nem fog rögzített intervallumot előírni. Az ügyfél kérdőíve maga tölti ki ezt a hiányt: sok formátum konkrétan az "évente legalább egyszer" vagy "jelentős változások esetén" kerül feltételre, de ez az ügyfél normája, nem a törvényé.

A gyakorlatban tehát saját ritmusod kell kitöltened, nem kötelező ritmusot. Tesztelnek évente, minden nagyobb verzió után, vagy csak ad hoc egy incidens után? Ez a válasz, az utolsó teszt dátumával és körével, általában külön dokumentumként van a láncfájlban — keress a penetrációs tesztjelentésben vagy annak vezetői összefoglalójában. Ha még nincs rögzített gyakoriságod, akkor az "ad hoc, utoljára végrehajtva [dátum]-on" egy őszintébb válasz, mint egy olyan gyakoriság kitalálása, amelyet nem tartanál be. Ez a kérdés gyakran ugyanabban a blokkban szerepel, mint a sebezhetőségek felderítésére és elhárítására irányuló folyamattal — a penetrációs teszt az egyik módja a sebezhetőségek feltárásának, a keresés és a javítási politika a másik.

Az ISO 27001 közvetett támpontként

Aki ISO 27001-tanúsítvánnyal rendelkezik, általában az A. melléklet intézkedésein keresztül már rögzített egy belső periodikus értékelési politikát, beleértve az azt a szervezet választott az eredeti kockázatértékeléskor. Ez miatt az ISO 27001-tanúsítványra vonatkozó kérdés releváns háttérbizonyítékként: nem azért, mert a tanúsítvány penetrációs teszt-gyakoriságot ír elő, hanem mert azt bizonyítja, hogy létezik egy megállapított vizsgálati politika, amelyből ez a gyakoriság levezethető.