il-kliyent jistaqsu għal riżultati tal-pentest iżda aħna qatt ma għamilna pentest

L-ebda pentest mwettaq ma huwa ebda rispons awtomatiku ta' le

Pentest — test ta' penetrazzjoni, fejn xi ħadd ipprova attivament id-dħul fil-sistemi tiegħek biex isib il-punti dgħajfa — huwa waħda mill-possibilitajiet test tal-effettività, iżda mhux l-unika. L-Artikolu 21(2) tal-NIS2 jistieden għal "politiki u proċeduri biex tiġi vvalutata l-effettività tal-miżuri", mingħajr ma tittlob pentest espliċitament. Ukoll l-Annex A tal-ISO/IEC 27001 imnissiet il-ġestjoni ta' vulnerabbiltajiet tekniċi u t-test, iżda ma tforzax metodu ta' test speċifiku. Allura ħafna drabi tista' timla b'mod onest "le, għad le" mingħajr li dan ikun rispons li jseggel it-twettiq — huwa waħda minn għaxar miżuri, mhux l-unika.

X'jikkunsidra bħala evidenza alternattiva: scans tal-vulnerabbiltajiet awtomatizzati, proċess ta' patch, jew analiżi tar-riskju li turi li pentest kien għadu mhux meħtieġ minħabba l-iskala tas-sistemi tiegħek. Arċħa ħamm il-proċess għat-tidentifikazzjoni u l-korrezzjoni tal-vulnerabbiltajiet jekk għandek xi ħadd li jaħdem dawk — ħaffa drabi iva, anke mingħajr ma jintuża l-kelma "pentest". Jekk il-dossier tiegħek m'għandux dak id-dokument ta' prova, is-sistema ma tipproponi "iva": tikseb allura mistoqsija bi-rispons vjewt, u int inti stess li tistqassi jekk imliet "le" jew l-ewwel tħarreġ scan. Xi klijenti jaċċettaw impenn ("implannat f'Q-dak") bħala rispons intermedju; dan taf biss wara li tressaq lis-sistema tal-portali tagħhom.

Fejn dan istaħqu: Artikolu 21(2) u l-Annex A

L-obbligu ta' evaluazzjoni perjodiċa iderja mill-Artikolu 21(2) tal-Direttiva (UE) 2022/2555, li tisilla "politiki u proċeduri għall-evaluazzjoni tal-effettività tal-miżuri ta' ġestjoni tar-riskji tal-cybersecurity" bħala waħda minn għaxar miżuri, miegħ — mhux bhalessa ta' — ġestjoni ta' vulnerabbiltajiet. ISO/IEC 27001 l-Annex A tfittex dan f'miżuri ta' kontroll dwar il-vulnerabbiltajiet tekniċi u l-evaluazzjoni, mingħajr ma tinnunzja pentest bħala strument obbligatorju. Jekk l-organizzazzjoni tiegħek innifisha taqa taħt l-obbligazzjonijiet diretti tal-NIS2, tiddependi mir-settur u l-iskala — dan tiggħoddi barra minn din il-mistoqsija, per eżempju permezz ta' il-mistoqsija dwar jekk l-intrapriża nnifsha taqa' taħt NIS2.