Ein Prüfer liest den Bericht über einen Penetrationstest anders als ein Techniker. Der Prüfer sucht nach dem Prüfumfang und danach, ob er zur auditierten Umgebung passt, nach der Methode, nach den Terminen, nach Qualifikation und Unabhängigkeit der Tester und nach dem Nachweis, dass die Befunde behoben und nachgetestet wurden.
Wir richten den Prüfumfang des Tests an der Anforderung aus, die er erfüllen muss, und gliedern den Bericht so, dass diese Antworten leicht zu finden sind. Die Tests selbst werden nicht reduziert: Ein Test, der nur darauf ausgelegt ist, ein Audit zu bestehen, schützt nichts, und Prüfer erkennen einen solchen Test immer häufiger, wenn sie ihn sehen.
01Umfang
Was wir testen
PCI DSS v4.0.1: externe und interne Penetrationstests nach Anforderung 11.4
PCI DSS: Segmentierungstests der Umgebung mit Karteninhaberdaten
SOC 2: Tests als Nachweis für die Kriterien zu Überwachung und Schwachstellen
ISO/IEC 27001:2022: Maßnahmen zur Handhabung technischer Schwachstellen und zu Sicherheitstests
DORA: Tests der digitalen operationalen Resilienz von IKT-Systemen
NIS2: Bewertung der Wirksamkeit von Risikomanagementmaßnahmen
Artikel 32 DSGVO: regelmäßige Überprüfung der technischen und organisatorischen Maßnahmen
Sicherheitsfragebögen von Kunden und Partnern, die einen aktuellen Test verlangen
02Vorgehen
Wie die Arbeit abläuft
01
Zuordnung zur Anforderung
Wir klären, welcher Anforderung der Test dient, was sie an Umfang, Häufigkeit und Methode verlangt und was Ihr Prüfer sehen will.
02
Abgleich des Prüfumfangs
Der Prüfumfang des Tests wird an die Grenze der auditierten Umgebung angepasst. Abweichungen werden dokumentiert und begründet.
03
Tests
Der Test folgt unserer Standardmethodik für die jeweilige Art von System. Nichts wird ausgelassen, nur weil das Regelwerk es nicht nennt.
04
Nachweise
Der Bericht nennt Methode, Termine, Qualifikation und Unabhängigkeit der Tester. Nach dem Nachtest fasst ein Schreiben das Ergebnis für Dritte ohne technische Details zusammen.
Schweregrad jedes Befunds als Punktwert und Vektor.
FIRST
06Fragen
Fragen zu dieser Leistung
Sorgt der Test für unsere Compliance?
Nein. Über die Compliance entscheidet Ihr Prüfer auf Grundlage aller Kontrollen. Der Test liefert den Nachweis für die Anforderungen, die Sicherheitstests betreffen, und zeigt Ihnen, was Sie beheben sollten, bevor der Prüfer kommt.
Verlangen SOC 2, ISO/IEC 27001, NIS2 oder die DSGVO einen Penetrationstest?
Keines dieser Regelwerke nennt ihn wörtlich als verpflichtende Kontrolle. Verlangt wird, dass Schwachstellen erkannt werden und dass die Wirksamkeit der Maßnahmen regelmäßig getestet wird. Ein Penetrationstest ist der Nachweis, den Auditoren für diese Anforderungen am häufigsten erwarten. PCI DSS und DORA verlangen ihn ausdrücklich.
Wie oft muss der Test wiederholt werden?
PCI DSS verlangt Penetrationstests mindestens einmal alle zwölf Monate und nach wesentlichen Änderungen sowie Segmentierungstests mindestens einmal alle zwölf Monate, bei Dienstleistern alle sechs Monate. DORA verlangt Tests kritischer Systeme mindestens einmal im Jahr. Bei anderen Regelwerken ergibt sich die Häufigkeit aus Ihrer eigenen Risikobewertung; üblich ist ein jährlicher Test.
Externe und interne Penetrationstests von Netzwerken und Active Directory: von einem exponierten Dienst oder einem einzelnen Arbeitsplatzrechner bis zur Kontrolle über die Domäne.