cliente quer saber com que frequência testamos nossos sistemas

Sem frequência fixa prescrita

Não há um número no texto legislativo. O artigo 21.º n.º 2 da NIS2 menciona, na alínea f), "política e procedimentos para avaliar a eficácia das medidas de controlo na gestão de riscos de cibersegurança" — um teste de penetração é a concretização mais específica disso, mas a frequência com que deve ocorrer não é definida pela diretiva. A Lei da Cibersegurança, que transpõe este artigo em breve para a lei portuguesa, também não deverá adicionar um intervalo fixo. O questionário do teu cliente preenche essa lacuna por si próprio: muitos formatos perguntam explicitamente por "no mínimo anualmente" ou "em caso de alterações significativas", mas essa é a norma desse cliente, não a norma da lei.

O que podes preencher na prática é o teu próprio ritmo, não um ritmo obrigatório. Testa anualmente, após cada lançamento importante, ou apenas ad hoc após um incidente? Essa resposta encontra-se, com data e âmbito do último teste, geralmente como documento separado no dossiê da cadeia — procura o relatório de teste de penetração ou o respetivo resumo executivo. Se ainda não tens uma frequência fixa, então "ad hoc, último execução em [data]" é uma resposta mais honesta do que inventar uma frequência que não cumpres. Esta questão surge muitas vezes no mesmo bloco que o processo de deteção e correção de vulnerabilidades — um teste de penetração é uma forma de identificar vulnerabilidades, a análise de segurança e a política de correção são as outras.

ISO 27001 como ponto de referência indireto

Quem tem certificação ISO 27001 tem, através das medidas de Anexo A, geralmente uma política interna já estabelecida para testes periódicos, incluindo a frequência que a organização escolheu no âmbito da avaliação de riscos. Isso torna a questão sobre o certificado ISO 27001 relevante como prova subjacente: não porque o certificado prescreva uma frequência de testes de penetração, mas porque demonstra que existe uma política de testes estabelecida da qual essa frequência pode ser derivada.