En revisor leser ikke en rapport fra en penetrasjonstest slik en ingeniør gjør. Revisoren ser etter omfanget og om det stemmer med miljøet som revideres, etter metoden, etter datoene, etter kvalifikasjonene og uavhengigheten til testerne, og etter bevis for at funnene ble utbedret og testet på nytt.
Vi fastsetter omfanget av testen ut fra kravet den skal oppfylle, og strukturerer rapporten slik at disse svarene er lette å finne. Selve testingen blir ikke redusert: En test som bare er laget for å bestå en revisjon, beskytter ingenting, og revisorer kjenner i økende grad igjen en slik test når de ser den.
01Omfang
Hva vi tester
PCI DSS v4.0.1: ekstern og intern penetrasjonstesting etter krav 11.4
PCI DSS: segmenteringstesting av miljøet for kortholderdata
SOC 2: testing som bevis for kriteriene for overvåking og sårbarheter
ISO/IEC 27001:2022: kontroller for håndtering av tekniske sårbarheter og for sikkerhetstesting
DORA: testing av den digitale operasjonelle motstandsdyktigheten til IKT-systemer
NIS2: vurdering av hvor effektive tiltakene for risikostyring er
Personvernforordningen artikkel 32: regelmessig testing av tekniske og organisatoriske tiltak
Sikkerhetsspørreskjemaer fra kunder og partnere som krever en nylig test
02Fremgangsmåte
Slik utføres arbeidet
01
Kartlegging av krav
Vi fastslår hvilket krav testen skal oppfylle, hva kravet forlanger av omfang, hyppighet og metode, og hva revisoren din forventer å se.
02
Tilpasning av omfanget
Omfanget av testen tilpasses grensen for miljøet som revideres. Avvik dokumenteres og begrunnes.
03
Testing
Testen følger vår standardmetodikk for den aktuelle typen system. Ingenting utelates fordi rammeverket ikke nevner det.
04
Bevis
Rapporten angir metode, datoer, testernes kvalifikasjoner og uavhengighet. Etter retesten oppsummerer et brev resultatet for tredjeparter uten tekniske detaljer.
Poengsum og vektor for alvorlighetsgraden til hvert funn.
FIRST
06Spørsmål
Spørsmål om denne tjenesten
Gjør testen at vi oppfyller kravene?
Nei. Om kravene er oppfylt, avgjøres av revisoren din på grunnlag av alle kontrollene. Testen gir bevis for kravene som gjelder sikkerhetstesting, og forteller deg hva du må utbedre før revisoren kommer.
Krever SOC 2, ISO/IEC 27001, NIS2 eller personvernforordningen en penetrasjonstest?
Ingen av dem nevner den som en obligatorisk kontroll med de ordene. De krever at sårbarheter identifiseres, og at effekten av tiltakene testes regelmessig. En penetrasjonstest er det beviset revisorer oftest forventer for disse kravene. PCI DSS og DORA krever den uttrykkelig.
Hvor ofte må testen gjentas?
PCI DSS krever penetrasjonstesting minst én gang hver tolvte måned og etter vesentlige endringer, og segmenteringstesting minst én gang hver tolvte måned, hver sjette måned for tjenesteleverandører. DORA krever testing av kritiske systemer minst én gang i året. For andre rammeverk følger hyppigheten av din egen risikovurdering; årlig testing er det som vanligvis forventes.