klient chce vedieť, ako často testujeme naše systémy

Nie je predpísaná žiadna pevná frekvencia

V právnom texte nie je žiadne číslo. Článok 21 ods. 2 NIS2 spomína v bode f "politiky a postupy na posúdenie účinnosti opatrení na riadenie kybernetických bezpečnostných rizík" — penetračný test je najkonkrétnejším vyplnením tohto, ale ako často sa musí vykonávať, zákon ponecháva otvorené. Aj zákon o kybernetickej bezpečnosti, ktorý čoskoro prevedie tento článok do slovenskej legislatívy, k tomu pravdepodobne nepridá pevný interval. Zoznam otázok od tvojho klienta tento priestor vypĺňa sám: veľa formulárov konkrétne požaduje "minimálne ročne" alebo "pri výrazných zmenách", ale to je norma toho klienta, nie norma zákona.

To, čo v praxi môžeš vyplniť, je teda tvoj vlastný rytmus, nie povinný rytmus. Testujete ročne, po každej väčšej verzii alebo len ad hoc po incidente? Táto odpoveď sa zvyčajne nachádza ako samostatný dokument v reťazcovom spise — s dátumom a rozsahom posledného testu — vyhľadaj penetračný test alebo jeho manažérske zhrnutie. Ak ešte nemáš pevnú frekvenciu, potom je "ad hoc, naposledy vykonané dňa [dátum]" čestnejšia odpoveď ako frekvencia, ktorú si vymyslíš a nebudeš si ju udržiavať. Táto otázka sa často nachádza v rovnakom bloku ako procesom na detekciu a opravu zraniteľností — penetračný test je jedným spôsobom, ako nájsť zraniteľnosti, skenovanie a záplativá politika sú ďalšie.

ISO 27001 ako nepriamá oppora

Kto má certifikáciu ISO 27001, zvyčajne má prostredníctvom opatrení Prílohy A pevnú interných politiku pre periodické testovanie, vrátane frekvencie, ktorú si organizácia zvolila pri posúdení rizík. To robí otázku o certifikáte ISO 27001 relevantnou ako podkladový dôkaz: nie preto, že by certifikát predpisoval frekvenciu penetračného testu, ale preto, že preukázuje existenciu ustálenej politiky testovania, z ktorej sa táto frekvencia dá odvodiť.