kund vill veta hur ofta vi låter testa våra system

Ingen fast frekvens föreskrivs

Det står inget tal i lagstiftningen. Artikel 21 stycke 2 NIS2 nämner under punkt f "policy och procedurer för att bedöma effektiviteten i säkerhetsutvärderingsåtgärder inom hantering av cybersäkerhetskrisker" — ett penetrationstester är den mest konkreta implementeringen av detta, men hur ofta det måste genomföras lämnar direktivet öppet. Även cybersäkerhetslagens, som inom kort omvandlar denna artikel till svensk rätt, förväntas inte lägga till något fast intervall. Din klients enkät fyller själv detta gap: många format frågar konkret efter "minst årligen" eller "vid betydande ändringar", men det är den klientens standard, inte lagstiftningens.

Det du praktiskt kan fylla i är alltså din egen rytm, inte en obligatorisk rytm. Testar du årligen, efter varje större lansering, eller bara ad hoc efter en incident? Det svaret finns, tillsammans med datum och omfattning av det senaste testet, vanligtvis som ett separat dokument i kedjedossieären — leta efter penetrationstesrrapporten eller sammanfattningen av denna. Har du ännu ingen fast frekvens, är "ad hoc, senast genomfört den [datum]" ett ärlikt svar än att hitta på en frekvens som du inte följer. Den här frågan förekommer ofta i samma sektion som processen för att upptäcka och åtgärda sårbarheter — ett penetrationstester är ett sätt att hitta sårbarheter, skanning och uppdateringspolicy är de andra.

ISO 27001 som indirekt hållpunkt

Den som är ISO 27001-certifierad har genom Annex A-åtgärderna vanligtvis redan fastställt en intern policy för periodisk granskning, inklusive den frekvens som organisationen själv har valt vid riskbedömningen. Det gör frågan om ISO 27001-certifikatet relevant som underliggande bevis: inte för att certifikatet föreskriver en penetrationstestfrekvens, utan för att det visar att det finns en fastställd granskningspolicy från vilken denna frekvens kan härledas.