stranka sprašuje, ali smo nedavno izvedli test penetracije

Penetracijsko testiranje je dokaz za testiranje, ne ločen kriterij

Penetracijsko testiranje je eden od načinov, da se dokaže, da se varnost periodično testira, ne pa samostojni zahtevek. Člen 21 odstavek 2 NIS2 omenja v točki f "politike in postopke za oceno učinkovitosti ukrepov", penetracijsko testiranje pa je ena od možnih izvedb poleg na primer skeniranja ranljivosti ali notranje revizije. Če vprašanje izrecno zahteva penetracijsko testiranje, lahko odgovoriš z "da" takoj, ko imaš poročilo o testiranju, ne glede na videz ostalega dela tvojega postopka testiranja.

Če nisi naročil penetracijskega testiranja, vendar imaš druge oblike testiranja — zunanjo varnostno revizijo, certificiranje ISO 27001 s pripadajočimi notranjimi revizijami ali avtomatizirano skeniranje — je "ne" na dobesedno vprašanje pravi odgovor, morda s pojasnilom o nadomestnem testiranju v polju za prosti tekst, če to polje obstaja. Ne vnesi "da", ker "kaj dela s testiranjem"; vprašanje je dovolj specifično, da ga obravnavaš kot ločeno dejstvo. To področje se dotika tudi vprašanja, ali se učinkovitost ukrepov periodično testira, in pogosto tudi postopkom za odkrivanje in odpravljanje ranljivosti, ker se v praksi penetracijsko testiranje in skeniranje ranljivosti pogosto medsebojno zamenjujeta, čeprav gre za dva različna ukrepa.

Kje je to navedeno: člen 21 odstavek 2 pododstavek f, Priloga A

Člen 21 odstavek 2 pododstavek f Direktive (EU) 2022/2555 zahteva "politike in postopke za oceno učinkovitosti ukrepov za obvladovanje tveganj s področja kibernetske varnosti", brez da bi posebej predpisoval penetracijsko testiranje. ISO/IEC 27001 Priloga A to podrobneje razvije v ukrepe za upravljanje na področju tehničnih ranljivosti in ocene varnosti informacij, pri čemer se penetracijsko testiranje ujema kot praktična izvedba, vendar ni omenjeno kot obvezno orodje. Zakon o kibernetski varnosti prevzema to zahtevo ob vstopu v veljavo, brez pričakovanega povezovanja s posebno vrsto testa.