asigurătorul meu vrea să vadă un raport de pentest, ce trebuie să furnizez

Ce înțelege un asigurator prin "raport de pentesting"

De obicei, asiguratorul nu cere raportul tehnic complet, ci o rezumare: care a fost domeniul de aplicare testat, când, de cine și care au fost constatările la nivel înalt și mediu. Un rezumat pentru directori cu dată, laborator de testare și starea urmăririi este adesea suficient în practică. Raportul complet cu detalii de exploatare îl trimitei doar dacă se cere în mod explicit, și atunci este recomandabil să verifici ce protejezi prin butonul de confidențialitate — un asigurator are interes în concluzii, nu în vulnerabilitățile tehnice în sine.

Dacă nu ai efectuat niciun pentest, atunci "nu, nu este planificat deocamdată" este un răspuns mai onest decât să lași câmpul gol sau să trimiteri un raport vechi de la alt sistem. Mulți asiguratori pun această întrebare ca parte a unei imagini mai largi despre a process for identifying and remedying vulnerabilities— un pentest este acolo o singură dovadă, nu răspunsul complet. Dacă testul de penetrare lipsește, adesea se poate demonstra dacă rulează scanări, politici de remediere sau alt proces de detectare — aceasta contează și fără raportul de test.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Un pentest în sine nu este o obligație separată în articolul 21 alineatul 2 din Directiva NIS2; aceasta enumeră zece categorii de măsuri, inclusiv gestionarea vulnerabilităților și evaluarea eficacității măsurilor. Un pentest este o modalitate de a demonstra această eficacitate, alături de, de exemplu, o audit internă — vezi și sau dacă eficacitatea măsurilor de securitate este testată periodicÎn ISO/IEC 27001 Anexa A, testele de penetrare nu apar nici ca punct de control separat; se încadrează sub măsurile de control ale vulnerabilităților tehnice. Asiguratorii adesea o ceau oricum, ca indicator de risc propriu alături de cerințele legale sau normative — aceasta este o practică de asigurări, nu o obligație legală din NIS2 sau Legea de securitate cibernetică.