klientas klausia, ar mes atliekame penetracijos testą, ką aš sakysiu

Penetracinis testas patenka į testavimą, ne į atskirą langelį

Penetracinis testas (penetracinis testas) yra vienas iš būdų įrodyti, kad saugumas veikia — ne atskira reikalavimas. Klausimas priklauso platesniajam punktui apie periodinį veiksmingų priemonių testavimą. Jei praėjusiais metais atlikai penetracinį testą atlikusią išorinę šalį, atsakyti taip ir pateikti ataskaitą arba vadovybės santrauką kaip įrodymą. Kai kurie klientai nori matyti tik testo datą ir apimtį, ne pačias rastas spragą — tam galite naudoti portale pasitikėjimo mygtuką, jei toks variantas yra.

Jei neatlikei penetracinio testo, "ne" yra teisingas atsakymas — ne "taip" su nuoroda į ką nors kita. Spragų skenavimas, vidinis kodo peržiūrėjimas ar ISO 27001 sertifikavimas nėra penetracinio testo pakaitalas, net jei jie liečia tą patį klausimą. Jei tu iš tiesų spragą aptinki ir pašalinai kitaip, galite tai paaiškinti laisvojo teksto lauke, tačiau tai yra papildymas, o ne pakaitinis "taip" į pačią penetracinio bandymo klausimą. Jei abejojate, ar jūsų bandymo ataskaita pakankamai sena, jei vis dar galioja, saugiausia pasirinkimas yra tai nurodyti paaiškinime, o ne praleisti.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

21 straipsnis, 2 dalis NIS2 direktyvos (Direktyva (ES) 2022/2555) iš dešimties priemonių eksplicitiškai nurodo kibernetinės saugumo priemonių veiksmingumo testavimą ir vertinimą; penetracinis bandymas yra konkretiausia šios priemonės įgyvendinimo forma. ISO/IEC 27001 priedas A susieja tai su valdymo priemone, susijusia su techninių pažeidžiamumo valdymu ir nepriklausomu informacijos saugumo vertinimu. Kibernetinio saugumo įstatymas, Nyderlandų NIS2 direktyvos transponavimas, kuris įsigalioja 2026 m. rugpjūčio 15 d., nustato šią pareigą subjektams, kurie patenka į šio įstatymo taikymo sritį — tiesioginę klausą, kurią atstovauja jūsų klientas, todėl gali būti tokios privalomos šalies, ir todėl tikriname, ar pats įmonė patenka po NIS2 ar nacionaliniu transpanavimu suprasti, kodėl šis klausimas iš viso yra sąraše.