a biztosítóm egy behatolási teszt jelentéseit szeretné látni, mit kell benyújtanom

Mit ért a biztosító a "pentest-jelentés" alatt

Általában a biztosító nem a teljes technikai jelentésről kérdez, hanem egy összefoglalóról: milyen hatálykör lett tesztelve, mikor, ki által, és melyek voltak a megállapítások magas és közepes szinten. Az executive summary dátummal, tesztcéglettel és a nyomon követés státuszával a gyakorlatban gyakran elegendő. A teljes jelentést az exploit részletekkel csak akkor küldöd el, ha erre kifejezetten kérnek, és akkor célszerű megnézni, mit szűrsz ki a bizalmasság gombon keresztül — a biztosítónak a megállapítások érdekelnek, nem maguk a technikai sebezhetőségek.

Ha nem végeztettél pentest-et, akkor az "nem, még nincs tervezve" őszintébb válasz, mint az üres mező hagyása vagy egy másik rendszerről származó régi jelentés elküldése. Sok biztosító ezt az egyik részeként kéri a szélesebb képről folyamat a sebezhetőségek felderítésére és orvoslására: a pentest az egyik bizonyítéka, nem a teljes válasz. Ha a pentest hiányzik, gyakran akkor is lehet mutatni, hogy futnak szkennek, patchpolitika vagy más detektálási folyamat — ez is számít, teszt-jelentés nélkül is.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

Magát a pentest-et nem jelölik meg külön kötelezettségként a NIS2-irányelv 21. cikkének 2. bekezdésében; az tíz intézkedés-kategóriát említi, amelyek között a sebezhetőségek kezelése és az intézkedések hatékonyságának felmérése szerepel. A pentest az egyik módja ennek a hatékonyságnak a demonstrálására, például egy belső audit mellett — lásd még vagy a biztonsági intézkedések hatékonyságát időszakosan tesztelik-epontot. Az ISO/IEC 27001 Annex A-ban a penetrációs tesztelés szintén nem jelenik meg külön ellenőrzési pontként; a technikai sebezhetőségek kezeléséhez kapcsolódó ellenőrzési intézkedések alá tartozik. A biztosítók ezektől az előírásoktól függetlenül gyakran megkérdezik ezt saját kockázati mutatóként az előírásokon vagy normalizált követelményeken kívül — ez biztosítási gyakorlat, nem a NIS2 vagy a Kiberbiztonságról szóló törvény előírása.