klients vaicā, vai esam veikuši penetrācijas testu - ko es atbildu

Penetrācijas tests ietilpst pārbaudēs, nevis atsevišķā sadaļā

Penetrācijas tests ir viens no veidiem, kā pierādīt, ka drošība darbojas — tas nav atsevišķa prasība. Jautājums attiecas uz plašāku tēmu par periodisku drošības pasākumu efektivitātes pārbaudi. Ja pēdējā gada laikā esi licis veikt penetrācijas testu ārējam uzņēmējam, tad atbildi "jā" un pievieno testa pārskatu vai vadības kopsavilkumu kā pierādījumu. Daži klienti vēlas redzēt tikai testa datumu un darbības jomu, nevis atrastās vulnerabilitātes pašas — tam vari portālā izmantot konfidencialitātes pogu, ja šāda iespēja ir pieejama.

Ja penetrācijas testu nesi veicis, tad pareizā atbilde ir "nē" — nevis "jā" ar atsauci uz kaut ko citu. Vulnerabilitātes skenēšana, iekšējā koda pārskate vai ISO 27001 sertifikācija nav pentest aizstājēji, lai arī tie pieskaras tam pašam jautājumam. Ja jau strukturāli identificē un novēršī vulnerabilitātes citā veidā, vari to izskaidrot brīvā teksta laukā, bet tas ir papildinājums, nevis aizvietojošs "jā" uz paša penetrācijas testa jautājuma. Ja šaubies, vai tavs testa pārskats ir pietiekami jauns, drošākā izvēle ir to pieminēt paskaidrojumā, nevis to izlaist.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas (Direktīva (ES) 2022/2555) 21. panta 2. punkts skaidri nosaka desmit pasākumus, tostarp desmit pasākumu starpā pārbaudi un novērtēšanu par kiberdrošības pasākumu efektivitāti; penetrācijas tests ir tā konkrētākā ieviešanas forma. ISO/IEC 27001 Pielikums A to saista ar tehnisko vulnerabilitātes pārvaldības kontroli un neatkarīgu informācijas drošības novērtēšanu. Kiberdrošības likums, NIS2 nacionālā ieviešana, kas stājas spēkā 2026. gada 15. augustā, izvirza šo pienākumu entitātēm, uz kurām likums attiecas — tāpēc pārbaudī, vai uzņēmums pats ir pakļauts NIS2 vai nacionālai ieviešanai , lai saprastu, kāpēc šis jautājums vispār atrodas sarakstā.