klientas nori žinoti, kaip dažnai mes tikriname savo sistemas

Nėra nustatyto fiksuoto dažnio

Teisės akte nėra nurodytas konkretus skaičius. NIS2 direktyvos 21 straipsnio 2 dalies f punkte minima "politika ir procedūros kibernetinio saugumo rizikos valdymo kontrolės priemonių veiksmingumui įvertinti" — penetraciniai bandymai yra konkretiausia to įgyvendinimo forma, tačiau kaip dažnai jie turi būti atliekami, direktyva paliek neapibrėžta. Taip pat Kibernetinio saugumo įstatymas, kuris netrukus transponuos šį straipsnį į Lietuvos teisę, tikėtina, nebus nustatyti fiksuoti intervalai. Kliento klausimynas tą spragą užpildo pats: daugelyje formatų aiškiai klausiama apie "mažiausiai kasmet" arba "pasikeitus reikšmingiems aspektams", tačiau tai yra to kliento standartai, o ne įstatymo reikalavimas.

Praktikoje galite taikyti savo nustatytą ritmiką, o ne privalomą ritmiką. Bandote kasmet, po kiekvieno didžiojo atnaujinimo ar tik pagal poreikį po incidento? Tas atsakymas su paskutinio bandymo data ir apimtimi dažniausiai yra atskiras dokumentas grandinės byloje — ieškokite penetracinio bandymo ataskaitos arba jos vadybinio santraukos. Jei dar neturite nustatyto fiksuoto dažnio, tai "pagal poreikį, paskutinį kartą atlikta [data]" yra teisingesnis atsakymas nei sugalvotas dažnis, kurio nesilaikiote. Šis klausimas dažnai yra tame pačiame bloke kaip pažeidžiamumų nustatymo ir šalinimo procesą — penetracinis bandymas yra vienas iš būdų jei rasti pažeidžiamumus, skenavimas ir taisymų politika yra kiti.

ISO 27001 kaip netiesioginis atskaitos taškas

Jei kuris nors yra ISO 27001 sertifikuotas, dažniausiai jau turi nustatytą vidinę politiką periodiškajai patikrai per Priedo A priemones, įskaitant dažnumą, kurį organizacija pati pasirinkusi atliekant rizikos vertinimą. Tai daro klausimą dėl ISO 27001 sertifikato svarbų kaip pagrindinį įrodymą: ne todėl, kad sertifikatas nustato penetracinio testavimo dažnumą, bet todėl, kad jis įrodo, jog egzistuoja nustatytas patikros politika, iš kurios šis dažnumas gali būti išvestas.