Stranka vprašuje po rezultatih penetracijskega testiranja, vendar smo nikoli naredili penetracijsko testiranje

Neizvedeni penetracijski test ni avtomatski ne

Penetracijski test — penetracijsko testiranje, pri katerem nekdo aktivno poskuša vdreti v vaše sisteme, da bi našel šibke točke — je ena od mogočih preverjanja učinkovitosti, vendar ne edina. Člen 21(2) direktive NIS2 zahteva »politike in postopke za ocenjevanje učinkovitosti ukrepov« brez predpisovanja penetracijskega testa. Tudi Priloga A standarda ISO/IEC 27001 omenja tehnično upravljanje ranljivosti in preverjanje, vendar ne vsiljuje nobenega posebnega načina testiranja. Zato lahko pogosto iskreno vnesete »ne, še ne« brez da bi to bil blokirajoči odgovor — to je le eden od desetih ukrepov, ne edini.

Kaj šteje kot nadomestni dokaz: avtomatizirani pregledi ranljivosti, postopek oblikovanj popravkov ali analiza tveganja, iz katere izhaja, da penetracijski test še ni bil nujno potreben glede na obseg vaših sistemov. Preverite pri postopkom za odkrivanje in odpravljanje ranljivosti ali imate tam že kaj tekočega — pogosto imate, tudi če temu ne rečete »penetracijski test«. Če vaš dosje tega dokazila nima, sistem ne predlaga »da«: dobite vprašanje s praznim odgovorom, odločite pa se sami, ali vnesete »ne« ali najprej poženete pregled. Nekateri odjemalci sprejmejo obveznost (»je načrtovano v Q-toliko«) kot vmesni odgovor; to izvete šele po oddaji v njihov portal.

Kaj je osnova tega: člen 21(2) in Priloga A

Obveznost periodičnega preverjanja izhaja iz člena 21(2) direktive (EU) 2022/2555, ki »politike in postopke za ocenjevanje učinkovitosti ukrepov za upravljanje tveganj na področju kibernetske varnosti« navaja kot enega od desetih ukrepov, poleg — ne namesto — upravljanja ranljivosti. Standard ISO/IEC 27001 Priloga A to razdeluje na nadzorne ukrepe v zvezi s tehničnimi ranljivostmi in preverjanjem brez da bi penetracijski test navedel kot obvezno orodje. Ali vaša organizacija spada pod neposredne obveznosti NIS2, je odvisno od panoge in velikosti — to določite ločeno od tega vprašanja, na primer prek vprašanje, ali je podjetje samo zajeto v NIS2.