môj poistovateľ chce vidieť správu penetračného testu, čo mám predložiť

Čo poisťovňa myslí pod pojmom "pentestovacia správa"

Poisťovňa zvyčajne nepožaduje úplnú technickú správu, ale zhrnutie: aký rozsah bol testovaný, kedy, kým a aké boli zistenia na vysokej a strednej úrovni. Zhrnutie pre vedenie s dátumom, testovacou spoločnosťou a stavom sledovania je v praxi často dostatočné. Úplnú správu s detailmi exploitov posielaš iba ak je o to konkrétne požiadané a potom je rozumné zvážiť, čo si chrániš cez tlačidlo dôvernosti — poisťovňa má záujem o záver, nie o samotné technické zraniteľnosti.

Ak si si nenechal vykonať pentest, potom je "nie, ešte nie je plánovaný" poctivejšou odpoveďou ako nechať pole prázdne alebo poslať starú správu z iného systému. Mnohé poisťovne sa to pýtajú ako súčasť širšieho prehľadu proces na zistenie a nápravu zraniteľnostídôslednosti vašich bezpečnostných opatrení: penetračný test je tam jedným dôkazným materiálom, nie celou odpoveďou. Ak chýba penetračný test, potom sa často stále dá ukázať, či bežia skeny, zásada záplat alebo iný detekčný proces — to sa tiež počíta, aj bez skúšobnej správy.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Samotný pentest nie je samostatnou povinnosťou v článku 21 odseku 2 Smernice NIS2; ten stanovuje desať kategórií opatrení vrátane riešenia zraniteľností a posudzovania účinnosti opatrení. Pentest je jedným spôsobom, ako preukázať túto účinnosť, okrem napr. internej auditu — pozri tiež alebo či sa účinnosť bezpečnostných opatrení periodicky overujeVo výkaze ISO/IEC 27001 Príloha A sa penetračné testy tiež neobjavujú ako samostatný kontrolný bod; spadajú pod opatrenia na riadenie technických zraniteľností. Poisťovne sa na ne pýtajú často aj nezávisle od tejto regulácie, ako na vlastný indikátor rizika vedľa právnych alebo normatívnych požiadaviek — to je poisťovňa, nie právna povinnosť z NIS2 alebo Zákona o kybernetickej bezpečnosti.