Arvioija ei lue penetraatiotestin raporttia samalla tavalla kuin insinööri. Arvioija etsii siitä laajuuden ja tarkistaa, vastaako se auditoitavaa ympäristöä. Lisäksi hän etsii menetelmän, päivämäärät, testaajien pätevyyden ja riippumattomuuden sekä näytön siitä, että havainnot on korjattu ja testattu uudelleen.
Määritämme testin laajuuden sen vaatimuksen mukaan, joka testin on täytettävä, ja jäsennämme raportin niin, että nämä vastaukset löytyvät helposti. Itse testausta ei supisteta: pelkästään auditoinnin läpäisemiseksi suunniteltu testi ei suojaa mitään, ja arvioijat tunnistavat sellaisen yhä useammin nähdessään sen.
01Laajuus
Mitä testaamme
PCI DSS v4.0.1: ulkoinen ja sisäinen penetraatiotestaus vaatimuksen 11.4 mukaisesti
PCI DSS: kortinhaltijatietojen ympäristön segmentointitestaus
SOC 2: testaus näyttönä valvontaa ja haavoittuvuuksia koskeville kriteereille
ISO/IEC 27001:2022: teknisten haavoittuvuuksien hallinnan ja tietoturvatestauksen hallintakeinot
DORA: tieto- ja viestintäteknisten järjestelmien digitaalisen häiriönsietokyvyn testaus
Tietosuoja-asetuksen (GDPR) 32 artikla: teknisten ja organisatoristen toimenpiteiden säännöllinen testaus
Asiakkaiden ja kumppanien tietoturvakyselyt, jotka edellyttävät tuoretta testiä
02Toimintatapa
Miten työ tehdään
01
Vaatimusten kartoitus
Selvitämme, mitä vaatimusta testi palvelee, mitä se edellyttää laajuuden, tiheyden ja menetelmän osalta ja mitä arvioijasi odottaa näkevänsä.
02
Laajuuden yhdenmukaistaminen
Testin laajuus sovitetaan auditoitavan ympäristön rajaan. Erot dokumentoidaan ja perustellaan.
03
Testaus
Testi noudattaa järjestelmätyypin vakiomenetelmäämme. Mitään ei jätetä pois siksi, ettei viitekehys mainitse sitä.
04
Näyttö
Raportissa kerrotaan menetelmä, päivämäärät sekä testaajien pätevyys ja riippumattomuus. Uusintatestauksen jälkeen testaustodistus tiivistää tuloksen kolmansille osapuolille ilman teknisiä yksityiskohtia.
Ei. Vaatimustenmukaisuuden määrittää arvioijasi kaikkien hallintakeinojen perusteella. Testi antaa näytön tietoturvatestausta koskeviin vaatimuksiin ja kertoo, mitä sinun on korjattava ennen arvioijan tuloa.
Edellyttävätkö SOC 2, ISO/IEC 27001, NIS2 tai GDPR penetraatiotestiä?
Mikään niistä ei nimeä sitä näillä sanoilla pakolliseksi hallintakeinoksi. Ne edellyttävät, että haavoittuvuudet tunnistetaan ja toimenpiteiden vaikuttavuutta testataan säännöllisesti. Penetraatiotesti on näyttö, jota auditoijat yleisimmin odottavat näiden vaatimusten täyttämisestä. PCI DSS ja DORA vaativat sitä nimenomaisesti.
Kuinka usein testi on toistettava?
PCI DSS edellyttää penetraatiotestausta vähintään kerran kahdessatoista kuukaudessa ja merkittävien muutosten jälkeen sekä segmentointitestausta vähintään kerran kahdessatoista kuukaudessa ja palveluntarjoajilta kuuden kuukauden välein. DORA edellyttää kriittisten järjestelmien testausta vähintään kerran vuodessa. Muissa viitekehyksissä tiheys määräytyy oman riskiarviosi perusteella; tavallisesti odotetaan vuosittaista testausta.
Verkkojen ja Active Directoryn ulkoinen ja sisäinen penetraatiotestaus: näkyvillä olevasta palvelusta tai yksittäisestä työasemasta toimialueen hallintaan.