clientul întreabă dacă am executat un pentest, ce trebuie să răspund

Raportul de pentest este dovadă, nu o cerinţă separată

Un pentest — un test de penetrare, în care cineva încearcă activ să se introduceacă în sistemele tale — nu apare nicăieri ca document separat obligatoriu în articolul 21 alineatul 2 din NIS2. Întrebarea clientului tău se încadrează în măsura privind testarea și evaluarea eficacității măsurilor de securitate cibernetică, iar un raport de pentest este cel mai concret document de dovadă care există pentru aceasta. Dacă ai unul, răspunsul este de obicei da. Dacă nu ai comandat niciodată un pentest, răspunsul este nu — și aceasta nu este o problemă în sine, atâta timp cât poți demonstra în alt mod că testezi și evaluezi periodic eficacitatea măsurilor de securitate, de exemplu prin audituri interne sau scanări de vulnerabilități.

Acordă atenție la ce se cere exact la completare: un raport de pentest în sine, sau doar confirmarea faptului că s-a testat. Unele portale cer raportul ca anexă — aceasta este o cerere diferită de o întrebare da/nu, iar rapoartele conțin adesea detalii tehnice sensibile. Pentru aceasta există butonul de confidențialitate: decizi tu dacă și cu cine partajezi documentul complet, independent de faptul că răspunsul este da sau nu. Dacă ai avut un pentest dar lipsește legătura cu urmărirea vulnerabilităților găsite, verifică și dacă procesul tău de identificare și remediere a vulnerabilităților face deja parte din aceasta — mulți clienți cere aceasta în aceeași secțiune.

De unde decurge din ISO 27001 și NIS2

Anexa A la ISO/IEC 27001 nu are un punct de control separat pentru "pentest", dar măsurile de control privind managementul vulnerabilităților tehnice și evaluarea independentă a securității informației sunt în practică adesea susținute de rezultatele pentestelor. NIS2, articolul 21 alineatul 2, menționează printre cele zece măsuri atât testarea și evaluarea politicii, cât și managementul vulnerabilităților și divulgarea acestora ca elemente separate — un raport de pentest servește de obicei drept dovadă pentru prima, iar urmărirea acestuia pentru a doua.