klients jautā, vai mēs esam veikuši penetrācijas testu, ko man jāatbild

Penetrācijas testa atskaite ir pierādījums, nevis atsevišķa prasība

Penetrācijas tests — penetrācijas tests, kurā kāds aktīvi mēģina iekļūt jūsu sistēmās — nekur nav norādīts kā atsevišķs obligāts dokuments NIS2 21. panta 2. punktā. Jūsu klienta jautājums attiecas uz pasākumu par kiberdrošības pasākumu efektivitātes pārbaudi un novērtēšanu, un penetrācijas testa atskaite ir visvairāk konkrēts pierādījums, kas pastāv šim nolūkam. Ja jums tāda ir, atbilde parasti ir jā. Ja jūs nekad neesat veicis penetrācijas testu, atbilde ir nē — un tas pats par sevi nav problēma, ja varat parādīt citur, ka jūs periodiski pārbaudāt drošības pasākumu efektivitāti, piemēram, ar iekšējiem audītiem vai ievainojamības skenēšanu.

Aizpildīšanas laikā pievērsiet uzmanību tam, kas tieši tiek prasīts: pati penetrācijas testa atskaite vai tikai apstiprinājums, ka tika veikta pārbaude. Dažos portālos tiek prasīta atskaite kā pielikums — tas ir atšķirīgs pieprasījums nekā jā/nē jautājums, un atskaites bieži satur sensitīvus tehniskos detaļas. Tam paredzēta konfidencialitātes poga: jūs paši nolemjat, vai un ar ko jūs dalāties ar pilno dokumentu, neatkarīgi no tā, vai atbilde ir jā vai nē. Ja jums ir bijis penetrācijas tests, bet trūkst saistības ar atklāto ievainojamību novēršanu, pārbaudiet arī, vai jūsu process ievainojamību atklāšanai un novēršanai tur jau ir iekļauts — daudzi klienti to jebkurā gadījumā prasa tajā pašā sadaļā.

Kad tas izriet no ISO 27001 un NIS2

ISO/IEC 27001 A pielikumā nav atsevišķa kontroles punkta "penetrācijas tests", bet pasākumi par tehnisko ievainojamību pārvaldību un neatkarīgu informācijas drošības novērtēšanu praksē bieži tiek apliecināti ar penetrācijas testa rezultātiem. NIS2, 21. panta 2. punkts, minēs desmit pasākumus, kuros gan politikas pārbaude un novērtēšana, gan ievainojamību pārvaldība un to atklāšana ir atsevišķi komponenti — penetrācijas testa atskaite parasti kalpo kā pierādījums pirmajam, bet tās izpilde otrajam.