client întreabă dacă am lăsat recent să se efectueze un test de penetrare

Pentestul este dovadă pentru testare, nu un criteriu separat

Un test de penetrare este una dintre modalitățile de a demonstra că securitatea este testată periodic, nu o cerință independentă în sine. Articolul 21 alineatul 2 NIS2 menționează sub punctul f "politici și proceduri pentru a evalua eficacitatea măsurilor", iar un pentest este una dintre implementările sale alături de, de exemplu, o scanare de vulnerabilități sau un audit intern. Dacă întrebarea cere literal un pentest, poți deci să răspunzi cu "da" imediat ce ai un raport de testare, indiferent de cum arată restul procesului de testare.

Dacă nu ai efectuat un pentest, dar ai alte forme de testare — un audit de securitate extern, certificarea ISO 27001 cu auditurile interne corespunzătoare, sau o scanare automatizată — atunci "nu" la întrebarea literală este răspunsul corect, cu posibil o clarificare privind testarea alternativă în câmpul de text liber, dacă acest câmp există. Nu completa "da" pentru că "faci ceva cu testarea"; întrebarea este suficient de specifică pentru a fi tratată ca o chestiune separată. Acest subiect se referă, de asemenea, la întrebarea dacă eficacitatea măsurilor este testată periodic, și adesea și la procesul de detectare și remediere a vulnerabilităților, deoarece în practică pentesturile și scanările de vulnerabilități sunt adesea solicitate una după alta în timp ce sunt două măsuri diferite.

Unde se regăsește aceasta: articolul 21 alineatul 2 litera f, Anexa A

Articolul 21 alineatul 2 litera f din Directiva (UE) 2022/2555 obligă la "politici și proceduri pentru a evalua eficacitatea măsurilor de gestionare a riscurilor de securitate cibernetică", fără a prescrie specific un pentest. ISO/IEC 27001 Anexa A o dezvoltă mai departe în măsurile de control privind vulnerabilitățile tehnice și evaluarea securității informațiilor, unde un pentest se potrivește ca implementare practică, dar nu este menționat ca instrument obligatoriu. Legea de securitate cibernetică preia această cerință o dată ce intră în vigoare, fără a se anticipa ca aceasta să fie legată de un tip specific de testare.