il cliente chiede se abbiamo fatto effettuare un pentest, cosa devo rispondere

La relazione di pentest è una prova, non un requisito autonomo

Un pentest — una prova di penetrazione, in cui qualcuno tenta attivamente di introdursi nei tuoi sistemi — non figura da nessuna parte come documento separato obbligatorio nell'articolo 21, paragrafo 2, della NIS2. La richiesta del tuo cliente rientra nella misura relativa al test e alla valutazione dell'efficacia delle misure di sicurezza informatica, e una relazione di pentest è il documento di prova più concreto che esista. Se ne hai una, la risposta è solitamente sì. Se non hai mai effettuato un pentest, la risposta è no — e questo di per sé non è un problema, purché tu possa dimostrare altrove che verifichi periodicamente l'efficacia delle misure di sicurezza, ad esempio mediante audit interni o scansioni di vulnerabilità.

Presta attenzione a cosa viene chiesto esattamente: una relazione di pentest vera e propria, o solo la conferma che il test è stato effettuato. Alcuni portali chiedono la relazione come allegato — è una richiesta diversa da una domanda sì/no, e le relazioni spesso contengono dettagli tecnici sensibili. Per questo esiste il pulsante di riservatezza: decidi tu stesso se e con chi condividere il documento completo, indipendentemente dal fatto che la risposta sia sì o no. Se hai effettuato un pentest ma manca il collegamento con il follow-up delle vulnerabilità riscontrate, verifica anche se il tuo processo per identificare e rimediare alle vulnerabilità rientra già in questo — molti clienti infatti lo chiedono nella stessa sezione.

Dove questo deriva da ISO 27001 e NIS2

L'Allegato A della ISO/IEC 27001 non prevede un punto di controllo separato "pentest", ma le misure di controllo sulla gestione delle vulnerabilità tecniche e sulla valutazione indipendente della sicurezza delle informazioni sono spesso supportate dai risultati dei pentest nella pratica. La NIS2, articolo 21, paragrafo 2, annovera tra le dieci misure sia il test e la valutazione delle politiche che la gestione delle vulnerabilità e la loro divulgazione come elementi separati — una relazione di pentest di solito serve come prova della prima, e il suo follow-up della seconda.