klausimynas klausia, ar atlikome penetracijos testą

Penetracinis testas yra įrodymas, o ne atskiras reikalavimas

Penetracinis testas — penetracinis bandymas, kai kažkas aktyviai bando įsilaužti į sistemą — nėra išvardytas kaip atskiras privalomas elementas jokiame iš dešimties priemonių, nurodytų Direktyvos (ES) 2022/2555 21 straipsnio 2 dalyje. Klausimas paprastai kyla iš priemonės dėl rizikos valdymo ir pažeidžiamumų: kliento siekis — sužinoti, ar praktikoje patikrinai savo apsaugą, o ne tik popierinėje formoje. Tas pats pasakytina apie ISO/IEC 27001: Priedas A neminima jokios privalomosios penetracinės bandymo, tačiau minima techninį pažeidžiamumo valdymą, kurio konkretausia išraiška, kurią atpažįsta auditoriai, yra penetracinis testas.

Jei niekada nesi atliekęs penetracinio testo, tai "ne" yra teisingas atsakymas — pasiūlyti "taip" be ataskaitos nėra pagrindžiama. Daugelis įmonių tai pildantis tuo, ką jie iš tiesų atliko: pažeidžiamumo skenavimą, išorinį auditą arba vykdomą pažeidžiamumo nustatymo ir šalinimo procesąTai nėra tas pats kaip penetracinis testas, bet tai parodo, kad yra kas nors atliekama. Ar jūs norite paaiškinti šį skirtumą klientui, yra jūsų pasirinkimas; paties atsakymo laukas lieka faktinis. Jei jūs atliekote penetracinį testą, ataskaita — arba jos santrauka — yra įrodinėjimo medžiaga, kuri atitinka "taip" atsakymą, prireikus naudojant konfidencialumo funkciją, jei nenorite dalintis detalėmis.

Iš kur tai kilę: 21 straipsnis ir Priedas A

Direktyvos (ES) 2022/2555 21 straipsnio 2 dalis nurodo pažeidžiamumo valdymą ir priemonių veiksmingumo vertinimą kaip privalomas dalis, nenustačius penetracinio testo kaip metodo. Kibernetinio saugumo įstatymas perima šį reikalavimą, kai jis įsigalioja. ISO/IEC 27001 Priedas A tai plėtoja toliau techninio pažeidžiamumo valdymo kontrolės priemonėmis, kuriose penetracinis testas patenka kaip įprasta praktika. Kas gali parodyti, kad saugumo priemonių veiksmingumas periodiškai tikrinamas dažnai jau yra dalis atsakymo, net jei žodis "penetracinis testas" savame dossie nėra.