klientas klausia, ar atlikome penetracijos testą, ką turiu atsakyti

Penetracinio bandymo ataskaita yra įrodymas, ne atskiras reikalavimas

Penetracinis bandymas — penetracinis testas, kurio metu kas nors aktyviai bando prasiskversti į jūsų sistemas — niekur neišvardytas kaip atskiras privalomas dokumentas straipsnio 21 straipsnio 2 dalyje NIS2. Jūsų kliento klausimas priklauso kibernetinio saugumo priemonių veiksmingumo testavimo ir vertinimo priemonei, o penetracinio bandymo ataskaita yra konkrečiausias to įrodymas, kuris egzistuoja. Jei jis turėsite, atsakymas paprastai yra taip. Jei niekada nesuorganizavote penetracinio bandymo, atsakymas yra ne — ir tai pats savaime nėra problema, kol galite pademonstruoti kitur, kad reguliariai testuojate saugumo priemonių veiksmingumą, pavyzdžiui, atliekant vidinius auditus arba žalumo skenavimus.

Pildydami atkreipkite dėmesį į tai, kas tiksliai klausiama: pati penetracinio bandymo ataskaita, ar tik patvirtinimas, kad testuojama. Kai kurie portalai prašo ataskaitos kaip priedo — tai yra kitas prašymas nei taip/ne klausimas, o ataskaitose dažnai yra jautrios techninės informacijos. Tam skirtas konfidencialumo mygtukas: jūs patys nusprendžiate, ar ir su kuo dalintis pilnu dokumentu, nepriklausomai nuo to, ar atsakymas yra taip, ar ne. Jei turite penetracinį bandymą, bet trūksta ryšio su rastų žalumo vietų sprendimu, patikrinkite ir ar jūsų žalumo vietų nustatymo ir šalinimo procesas jau tai apima — daugelis klientų tame pačiame skyriuje tai klausia.

Kur tai kyla iš ISO 27001 ir NIS2

ISO/IEC 27001 A priedas neturi atskiro kontrolės taško "penetracinis bandymas", tačiau praktikoje techninių žalumo vietų valdymo ir nepriklausomos informacijos saugumo vertinimo kontrolės priemonės dažnai pagrindžiamos penetracinio bandymo rezultatais. NIS2, straipsnio 21 2 dalis, iš dešimties priemonių išvardija tiek politikos testavimą ir vertinimą, tiek žalumo vietų valdymą ir jų atskleidimą kaip atskirus komponentus — penetracinio bandymo ataskaita paprastai yra pirmojo įrodymas, o jos sekimas yra antrojo.