il cliente chiede se abbiamo recentemente fatto eseguire un penetration test

Il pentest è una prova di test, non un criterio separato

Un test di penetrazione è uno dei modi per dimostrare che la sicurezza è sottoposta a test periodici, non un requisito autonomo. L'articolo 21 paragrafo 2 NIS2 menziona al punto f "politiche e procedure per valutare l'efficacia delle misure", e un pentest è una delle sue implementazioni insieme ad esempio a una scansione delle vulnerabilità o un audit interno. Se la domanda chiede letteralmente un pentest, puoi rispondere con "sì" non appena hai un rapporto di test, indipendentemente da come si presenta il resto del tuo processo di test.

Se non hai eseguito un pentest ma hai altre forme di test — un audit di sicurezza esterno, una certificazione ISO 27001 con i relativi audit interni, o una scansione automatizzata — allora "no" alla domanda letterale è la risposta corretta, eventualmente con una spiegazione del test alternativo nel campo di testo libero se disponibile. Non compilare "sì" perché "fai qualcosa di test"; la domanda è abbastanza specifica da essere trattata come un fatto separato. Questo argomento riguarda anche la domanda se l'efficacia delle misure è sottoposta a test periodici, e spesso anche il processo di identificazione e correzione delle vulnerabilità, perché i pentest e le scansioni delle vulnerabilità in pratica sono spesso richiesti indistintamente mentre sono due misure diverse.

Dove si trova: articolo 21 paragrafo 2 lettera f, Allegato A

L'articolo 21 paragrafo 2 lettera f della Direttiva (UE) 2022/2555 impone "politiche e procedure per valutare l'efficacia delle misure di gestione del rischio di sicurezza informatica", senza prescrivere specificamente un pentest. La norma ISO/IEC 27001 Allegato A la sviluppa ulteriormente nelle misure di controllo relative alle vulnerabilità tecniche e alla valutazione della sicurezza delle informazioni, dove un pentest si adatta come implementazione pratica ma non è menzionato come strumento obbligatorio. La Legge sulla Cibersicurezza assume questo requisito una volta entrata in vigore, senza, come previsto, associarvi un tipo di test concreto.