mano draudimo bendrovė nori pamatyti penetracinio testo ataskaitą, ką turiu pateikti

Ką draudimo bendrovė turi omenyje sakydama "pentesto ataskaita"

Paprastai draudimo bendrovė prašo ne viso techninio pranešimo, bet santraukos: koks buvo testuotas diapazonas, kada, ką atliko, ir kokios buvo išvados dėl aukšto ir vidutinio lygio problemų. Vadovo santrauka su data, testavimo biuro pavadinimu ir sekimo būsena praktiškai dažnai bывает pakankama. Visą pranešimą su išnaudojimo detalėmis siuntite tik jei to konkrečiai prašoma, ir tada tikslinga pasvarstyti, ką nuslėpsite per konfidencialumo mygtuką — draudimo bendrovė domisi išvadomis, ne pačiais techniniais saugumo trūkumais.

Jei neatlikei pentesto, tai "ne, dar neplanuota" yra teisingiau nei palikti laukelį tuščią arba siųsti seną kitos sistemos ataskaita. Daugelis draudimo bendrovių tai klausia kaip dalį platesnio supratimo apie procesas nustatyti ir ištaisyti pažeidžiamumus— pentest čia yra vienas įrodymas, o ne visas atsakymas. Jei pentesto trūksta, dažnai vis tiek galima parodyti, ar vykdomi skenaviai, patch politika ar kitas atradimo procesas — tai irgi svarbu, net be testo ataskaitos.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

Pats pentest nėra atskira pareiga pagal NIS2 direktyvos 21 straipsnio 2 dalį; joje išvardytos dešimt priemonių kategorijų, įskaitant saugumo spragų tvarkymą ir priemonių veiksmingumo vertinimą. Pentest yra vienas būdas tam veiksmingumui parodyti, be kita ko, kartu su vidine auditu — taip pat žr. ar saugumo priemonių veiksmingumas periodiškai peržiūrimas„. ISO/IEC 27001 Priede A penetracinis testavimas taip pat nefigūruoja kaip atskiras kontrolinis punktas; jis priklauso techninių saugumo spragų valdymo priemonėms. Draudimo bendrovės dažnai apie tai klausia nepriklausomai nuo šios teisės aktų, kaip savo rizikos indikatorius, be valstybinių ar normatyvinių reikalavimų — tai draudimo praktika, o ne NIS2 ar Kibernetinio saugumo įstatymo nustatyta teisinė pareiga.