klausimynas klausia, ar suplanuojame penetracinį testą

Pentest yra įrodymas bandant, o ne atskiras reikalavimas

Penetracijos testas nėra išvardytas kaip savarankus įpareigojimas straipsnyje 21 straipsnio 2 dalyje NIS2. Klausimas priklauso priemonei (f): politikai ir procedūroms, skirtiems įvertinti saugumo priemonių veiksmingumą. Pentest yra vienas iš būdų tam patikrinti, be to, pavyzdžiui, žinomo saugumo spragų skenavimas ar vidinė audito. Jeigu klientas konkrečiai prašo penetracijos testo, jis dažniausiai nori sužinoti, ar kada nors buvo nepriklausomai patikrinta, ar techninės priemonės iš tikrųjų veikia, o ne tik ant popieriaus.

Jeigu atlikei penetracijos testą, tai ataskaita (arba santrauka su data, apimtimi ir nustatyto tvarkymusi) yra įrodymo dokumentas. Jeigu to neturi, tada "ne" yra sąžingas atsakymas — tai nėra automatinis atmesimas, ypač mažesnių tiekėjų be privalomojo taikymo subjekto statuso pagal direktyvą. Svarbiau nei žodis "pentest" yra tai, ar tu gali parodyti, kad tu reguliariai testuojate saugumo priemonių veiksmingumą kitu būdu, ir ar tai susiję su tęsiamąja pažeidžiamumo nustatymo ir šalinimo procesą. Todėl neužpildyk "taip" jei nėra ataskaitos, net jei tu kartą paleidai skenavimą — skenavimas ir pentest yra daugelyje klausimynų aiškiai skirtingi dalykai.

Iš kur tai kilęs: straipsnis 21 straipsnio 2 dalis ir ISO 27001

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje išvardyta b) punkte "politika ir procedūros, skirtos įvertinti kibernetinio saugumo rizikos valdymo priemonių veiksmingumą" kaip vienas iš dešimties privalomų priemonių; pentest čia patenka kaip bandymo metodas, bet nėra vadinamas vardu. ISO/IEC 27001 A priedas tai toliau detalizuoja techninių žinomo saugumo spragų ir nepriklausomos informacijos saugumo vertinimo kontrolės priemonėmis, kurių tarpe pentestai yra dažna praktika, tačiau taip pat nėra nustatomi kaip privalomi. Kibersaugumo įstatymas, Nyderlandų NIS2 transpozicija, įsigalioja 2026 m. rugpjūčio 15 d. ir turės tas pačias dešimt priemonių; iki tos datos pati direktyva yra taisytina sistema.