Hindaja ei loe läbistustesti aruannet nii nagu insener. Hindaja otsib ulatust ja seda, kas see vastab auditeeritavale keskkonnale, meetodit, kuupäevi, testijate kvalifikatsiooni ja sõltumatust ning tõendeid selle kohta, et leiud on parandatud ja uuesti testitud.
Määrame testi ulatuse nõude järgi, mida see peab täitma, ja ehitame aruande üles nii, et neid vastuseid on lihtne leida. Testimist ennast me ei vähenda: test, mis on koostatud ainult auditi läbimiseks, ei kaitse midagi, ja hindajad tunnevad sellise testi üha sagedamini ära.
01Ulatus
Mida me testime
PCI DSS v4.0.1: väline ja sisemine läbistustestimine nõude 11.4 alusel
PCI DSS: kaardiomanike andmete keskkonna segmenteerimise testimine
SOC 2: testimine tõendina seire ja turvanõrkuste kriteeriumide jaoks
ISO/IEC 27001:2022: tehniliste turvanõrkuste halduse ja turvatestimise meetmed
Isikuandmete kaitse üldmääruse artikkel 32: tehniliste ja korralduslike meetmete korrapärane testimine
Klientide ja partnerite turvaküsimustikud, mis nõuavad hiljutist testi
02Lähenemisviis
Kuidas töö käib
01
Nõuete kaardistamine
Teeme kindlaks, millist nõuet test teenib, mida see nõuab ulatuse, sageduse ja meetodi osas ning mida teie hindaja ootab näha.
02
Ulatuse ühtlustamine
Testi ulatus viiakse vastavusse auditeeritava keskkonna piiriga. Erinevused dokumenteeritakse ja põhjendatakse.
03
Testimine
Test järgib meie tavapärast metoodikat vastavat tüüpi süsteemi jaoks. Midagi ei jäeta välja põhjusel, et raamistik seda ei nimeta.
04
Tõendid
Aruandes on kirjas meetod, kuupäevad, testijate kvalifikatsioon ja sõltumatus. Pärast kordustesti võtab kiri tulemuse kolmandate osapoolte jaoks kokku ilma tehniliste üksikasjadeta.
Ei. Vastavuse otsustab teie hindaja kõigi kontrollimeetmete põhjal. Test annab tõendid turvatestimist puudutavate nõuete kohta ja ütleb, mida parandada enne hindaja tulekut.
Kas SOC 2, ISO/IEC 27001, NIS2 või isikuandmete kaitse üldmäärus nõuavad läbistustesti?
Ükski neist ei nimeta seda nende sõnadega kohustusliku meetmena. Need nõuavad, et turvanõrkused tuvastataks ja meetmete tõhusust testitaks korrapäraselt. Läbistustest on tõend, mida audiitorid nende nõuete puhul kõige sagedamini ootavad. PCI DSS ja DORA nõuavad seda otsesõnu.
Kui sageli tuleb testi korrata?
PCI DSS nõuab läbistustestimist vähemalt kord kaheteistkümne kuu jooksul ja pärast olulisi muudatusi ning segmenteerimise testimist vähemalt kord kaheteistkümne kuu jooksul, teenusepakkujatel iga kuue kuu järel. DORA nõuab kriitiliste süsteemide testimist vähemalt kord aastas. Teiste raamistike puhul tuleneb sagedus teie enda riskihinnangust; tavaliselt oodatakse iga-aastast testimist.