il questionario chiede se abbiamo eseguito un test di penetrazione

Un penetration test è una prova, non un requisito separato

Un penetration test — un test di penetrazione, in cui qualcuno tenta attivamente di accedere abusivamente a un sistema — non è un elemento obbligatorio separato in nessuna delle dieci misure di cui all'articolo 21, paragrafo 2. La domanda di solito viene dalla misura sulla gestione dei rischi e le vulnerabilità: il cliente vuole sapere se tu verifichi o se la tua sicurezza regge nella pratica, non solo sulla carta. Lo stesso vale per ISO/IEC 27001: l'Allegato A non menziona un penetration test obbligatorio, ma bensì la gestione tecnica delle vulnerabilità, e un penetration test è l'implementazione più concreta di questa che i revisori riconoscono.

Se non hai mai fatto eseguire un penetration test, allora "no" è la risposta corretta — suggerire un "sì" senza relazione non è sostenibile. Molte aziende lo compilano con quello che hanno effettivamente fatto: una scansione delle vulnerabilità, un audit esterno, o un processo continuo processo di identificazione e correzione delle vulnerabilitàQuesto non è la stessa cosa di un penetration test, ma mostra che c'è comunque qualcosa. Se comunichi questa differenza al cliente sta a te; il campo di risposta stesso rimane fattuale. Se hai effettivamente condotto un penetration test, allora il rapporto — o un riassunto dello stesso — è il documento di prova che corrisponde a un "sì", eventualmente con il pulsante di riservatezza se non vuoi condividere i dettagli.

Da dove viene: articolo 21 e Allegato A

L'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555 menziona la gestione delle vulnerabilità e la valutazione dell'efficacia delle misure come elementi obbligatori, senza prescrivere un penetration test come metodo. La Legge sulla sicurezza cibernetica recepisce questo obbligo non appena entra in vigore. ISO/IEC 27001 Allegato A lo sviluppa ulteriormente nelle misure di controllo per la gestione tecnica delle vulnerabilità, dove un penetration test rientra nella pratica comune. Chi può dimostrare che l'efficacia delle misure di sicurezza è verificata periodicamente spesso ha già una parte della risposta documentata, anche senza che la parola penetration test compaia nel proprio fascicolo.