Vērtētājs lasa ielaušanās testa ziņojumu citādi nekā inženieris. Vērtētājs meklē tvērumu un to, vai tas atbilst auditējamai videi, metodi, datumus, testētāju kvalifikāciju un neatkarību, kā arī pierādījumus, ka konstatējumi ir novērsti un atkārtoti pārbaudīti.
Testa tvērumu nosakām atbilstoši prasībai, kas tam jāizpilda, un ziņojumu strukturējam tā, lai šīs atbildes būtu viegli atrodamas. Pašu testēšanu nesamazinām: tests, kas izstrādāts tikai audita nokārtošanai, neko neaizsargā, un vērtētāji arvien biežāk to atpazīst, kad to redz.
01Tvērums
Ko mēs testējam
PCI DSS v4.0.1: ārējā un iekšējā ielaušanās testēšana saskaņā ar prasību 11.4
PCI DSS kartes turētāju datu vides segmentācijas testēšana
SOC 2: testēšana kā pierādījums uzraudzības un ievainojamību kritērijiem
ISO/IEC 27001:2022: tehnisko ievainojamību pārvaldības un drošības testēšanas kontroles pasākumi
DORA: IKT sistēmu digitālās darbības noturības testēšana
Vispārīgās datu aizsardzības regulas 32. pants: regulāra tehnisko un organizatorisko pasākumu testēšana
Klientu un partneru drošības anketas, kurās prasīts nesens tests
02Pieeja
Kā notiek darbs
01
Prasību sasaiste
Nosakām, kurai prasībai tests kalpo, ko tā prasa attiecībā uz tvērumu, biežumu un metodi un ko sagaida jūsu vērtētājs.
02
Tvēruma saskaņošana
Testa tvērumu saskaņojam ar auditējamās vides robežām. Atšķirības dokumentējam un pamatojam.
03
Testēšana
Tests notiek pēc mūsu standarta metodoloģijas attiecīgajam sistēmas veidam. Nekas netiek izlaists tāpēc, ka standarts to nenosauc.
04
Pierādījumi
Ziņojumā ir norādīta metode, datumi, testētāju kvalifikācija un neatkarība. Pēc atkārtotās pārbaudes vēstule apkopo rezultātu trešajām personām bez tehniskām detaļām.
Katra konstatējuma bīstamības vērtējums un vektors.
FIRST
06Jautājumi
Jautājumi par šo pakalpojumu
Vai tests padarīs mūs atbilstīgus?
Nē. Atbilstību nosaka jūsu vērtētājs, pamatojoties uz visiem kontroles pasākumiem. Tests sniedz pierādījumus prasībām, kas attiecas uz drošības testēšanu, un parāda, kas jānovērš, pirms ierodas vērtētājs.
Vai SOC 2, ISO/IEC 27001, NIS2 vai Vispārīgā datu aizsardzības regula prasa ielaušanās testu?
Neviens no tiem to šādiem vārdiem nenosauc kā obligātu kontroli. Tie prasa, lai ievainojamības tiktu identificētas un pasākumu efektivitāte tiktu regulāri testēta. Ielaušanās tests ir pierādījums, ko auditori šīm prasībām visbiežāk sagaida. PCI DSS un DORA to nosaka skaidri.
Cik bieži tests jāatkārto?
PCI DSS prasa ielaušanās testēšanu vismaz reizi divpadsmit mēnešos un pēc būtiskām izmaiņām, bet segmentācijas testēšanu – vismaz reizi divpadsmit mēnešos, pakalpojumu sniedzējiem – reizi sešos mēnešos. DORA prasa kritisko sistēmu testēšanu vismaz reizi gadā. Citiem standartiem biežums izriet no jūsu pašu riska novērtējuma; parasti sagaida ikgadēju testēšanu.