kund frågar om vi låtit utföra ett pentest, vad ska jag svara

Pentestrappor är bevis, inte ett separat krav

En pentest — ett penetrationstest, där någon aktivt försöker bryta sig in i dina system — står ingenstans som ett separat obligatoriskt dokument i artikel 21 stycke 2 i NIS2. Din kundes fråga faller under åtgärden för testning och utvärdering av effektiviteten i cybersäkerhetsmåtregoder, och en pentestrappor är det mest konkreta bevisföremål som finns för detta. Har du en sådan, är svaret vanligtvis ja. Har du aldrig låtit utföra en pentest, är svaret nej — och det är i sig inte något problem, så länge du kan visa på annat håll att du utvärderar cybersäkerhetsmåtregornas effektivitet på regelbunden basistill exempel genom interna revisioner eller sårbarhetsgenomsökningar.

Var noga med att notera vad som exakt efterfrågas när du fyller i: en pentestrappor i sig, eller endast bekräftelse på att testning genomförts. Vissa portalerna frågar efter rapporten som bilaga — det är en annan förfrågan än en ja/nej-fråga, och rapporter innehåller ofta känslig teknisk information. För detta finns konfidentialitetsknappen: du avgör själv om och med vem du delar det fullständiga dokumentet, oberoende av om svaret är ja eller nej. Har du genomfört en pentest men saknas kopplingen till åtgärd av identifierade sårbarheter, kontrollera även om din process för identifiering och reparation av sårbarheter redan ingår där — många kunder frågar ju om det i samma avsnitt.

Där detta följer från ISO 27001 och NIS2

Annex A i ISO/IEC 27001 har ingen separat kontrollpunkt "pentest", men kontrollmåtregoderna för hantering av tekniska sårbarheter och för oberoende granskning av informationssäkerhet underbyggs ofta i praktiken med pentestrresultat. NIS2, artikel 21 stycke 2, nämner bland de tio åtgärderna både testning och utvärdering av policy och hantering av sårbarheter och deras offentliggörande som separata komponenter — en pentestrappor tjänar vanligtvis som bevis för den första, och åtgärder på dess resultat för den andra.