Czy efektywność środków bezpieczeństwa jest okresowo oceniana?

Testowanie jest częścią samego środka, a nie osobnym polem

Tak, w większości przypadków — ale nie jako pytanie samodzielne, ponieważ artykuł 21 ust. 2 dyrektywy NIS2 formułuje to jako cechę polityki i procedur, a nie jako oddzielne wymóg testowania. W punkcie (a), polityka analizy ryzyka i bezpieczeństwa systemów informatycznych, oraz w punkcie (b), obsługa incydentów, okresowa ocena jest normalnie częścią tego, co oznacza polityka „adekwatna". Kto potrafi wykazać, że środki są regularnie przeglądane — po incydencie, po teście penetracyjnym, po ustaleniu audytu — spełnia to, co klient w rzeczywistości chce zobaczyć z tego pytania: działający system zarządzania, a nie zdjęcie z jednego dokumentu konfiguracyjnego.

Jeśli przedsiębiorstwo jest certyfikowane ISO 27001 , jest to zwykle najprostszy dokument dowodowy: norma sama wymaga audytów wewnętrznych i przeglądu kierownictwa, a te dokumenty bezpośrednio pokazują, że testowanie ma miejsce. Bez certyfikatu to samo można uzasadnić raportem z testu penetracyjnego, sprawozdaniem z oceny wewnętrznej lub notatkami, w których omówiono i skorygowano środki bezpieczeństwa. Jeśli brakuje całego tego dowodu, wówczas "nie" lub "w opracowaniu" jest szczerzejszą odpowiedzią niż "tak" bez towarzyszącego dokumentu — szczególnie że to pytanie często jest zadawane razem z pytaniem o politykę analizy ryzyka, a niespójność między tymi dwoma odpowiedziami rzuca się w oczy klientowi, który czyta obie.

Gdzie jest to wymienione w wytycznej: artykuł 21 ust. 2

Artykuł 21 ust. 2 dyrektywy NIS2 wymienia dziesięć kategorii środków, które muszą być "odpowiednie i proporcjonalne", a uzasadnienie dyrektywy wiąże proporcjonalność z trwającym procesem oceny ryzyka — nie z jednorazową konfiguracją. Nie ma wyraźnego oddzielnego obowiązku "okresowego testowania skuteczności" jako oddzielnego artykułu; wynika to z kombinacji punktu (a) polityki analizy ryzyka i punktu (b) obsługi incydentów, gdzie wnioski z incydentów i okresowa ocena ryzyka logicznie prowadzą do przeglądu środków. W przypadku dokładnego tekstu autentyczna dyrektywa jest źródłem, do którego należy się odwołać.