Klientas reikalauja penetracinio bandymo rezultatų, bet mes niekada neatlikome penetracinio bandymo

Neatliktas penetracinis bandymas nėra automatinis ne

Penetracinis bandymas — penetracinis testas, kai kas nors aktyviai bando įsilaužti į jūsų sistemas, kad rastų silpnas vietas — yra viena galima veiksmingumo vertinimas, tačiau ne vienintelė. NIS2 22 straipsnio 2 dalis reikalauja "politikos ir procedūrų, skirtų priemonių veiksmingumui įvertinti", nenumato penetracinio bandymo. Taip pat ISO/IEC 27001 Priedas A mini techninių pažeidžiamumų valdymą ir vertinimą, tačiau neprievartu negrąžinęs konkrečios bandymo metodo. Todėl dažnai galite sąžiningai užpildyti "ne, dar ne" nesulaužant atsakymo — tai viena iš dešimties priemonių, ne vienintelė.

Ką laikyti alternatyviu įrodymu: automatinius pažeidžiamumo skeniavimus, taisomų procesą arba rizikos analizę, kurioje nurodyta, kad penetracinis bandymas dėl jūsų sistemų apimties dar nebuvo laikomas būtinu. Patikrinkite pažeidžiamumų nustatymo ir šalinimo procesą ar jūs jau kažką ten darysite — dažnai taip pat be to, kad tai būtų vadinama "penetraciniu bandymu". Jei jūsų dosierje nėra tokio įrodymo, sistema neprieš "taip": jūs tuomet gausite klausimą su tuščiu atsakymu, o jūs patys nusprendžiate, ar užpildysite "ne", ar pirmą kartą paleiskite skenavimą. Kai kurie klientai priima įsipareigojimą ("planuojama Q-kiek") kaip tarpinį atsakymą; tai sužinosite tik pateikus į jų portalą.

Kur tai remiasi: 21 straipsnio 2 dalis ir Priedas A

Periodinio vertinimo pareiga kyla iš Direktyvos (ES) 2022/2555 21 straipsnio 2 dalies, kuriame "politika ir procedūros kibernetinio saugumo rizikos valdymo priemonių veiksmingumui įvertinti" yra viena iš dešimties priemonių, be — o ne vietoj — pažeidžiamumo valdymo. ISO/IEC 27001 Priedas A tai detalizuoja priemonėmis, susijusiomis su techniniais pažeidžiamumais ir vertinimu, nenurodydama penetracinio bandymo kaip privalomo įrankio. Ar jūsų organizacija pati patenka tiesioginių NIS2 pareigų galioje, priklauso nuo sektoriaus ir dydžio — tai nustatote atskirai nuo šio klausimo, pavyzdžiui, per klausimą, ar pati įmonė patenka į NIS2 taikymo sritį.