Аудитор читает отчёт о пентесте иначе, чем инженер. Он ищет объём и его соответствие проверяемой среде, метод, даты, квалификацию и независимость исполнителей, а также подтверждение того, что находки исправлены и перепроверены.
Мы определяем объём исходя из требования, которое тест должен закрыть, и строим отчёт так, чтобы эти ответы легко находились. Само тестирование при этом не урезается: тест, рассчитанный только на прохождение аудита, ничего не защищает, а аудиторы всё чаще такие тесты распознают.
01Объём
Что мы проверяем
PCI DSS v4.0.1: внешний и внутренний пентест по требованию 11.4
Проверка сегментации среды данных держателей карт по PCI DSS
SOC 2: тестирование как доказательство по критериям мониторинга и уязвимостей
ISO/IEC 27001:2022: меры по управлению техническими уязвимостями и тестированию безопасности
GDPR, статья 32: регулярная проверка технических и организационных мер
Опросные листы заказчиков и партнёров, требующие недавнего теста
02Подход
Как выполняется работа
01
Сопоставление с требованием
Устанавливаем, какое требование закрывает тест, что оно предписывает по объёму, частоте и методу и что ожидает увидеть ваш аудитор.
02
Согласование объёма
Объём теста приводится в соответствие с границей проверяемой среды. Расхождения документируются и обосновываются.
03
Тестирование
Тест проводится по нашей стандартной методологии для данного типа систем. Ничто не пропускается из-за того, что стандарт этого не называет.
04
Доказательства
В отчёте указаны метод, даты, квалификация и независимость исполнителей. После повторной проверки выдаётся письмо с итогом для третьих лиц без технических деталей.
Нет. Соответствие устанавливает ваш аудитор по совокупности всех мер. Тест даёт доказательства по требованиям, связанным с тестированием безопасности, и показывает, что нужно исправить до прихода аудитора.
Требуют ли пентест SOC 2, ISO/IEC 27001, NIS2 или GDPR?
Ни один из них не называет его обязательной мерой дословно. Они требуют выявлять уязвимости и регулярно проверять эффективность мер защиты. Пентест — доказательство, которое аудиторы чаще всего ожидают по этим требованиям. PCI DSS и DORA говорят о нём прямо.
Как часто нужно повторять тест?
PCI DSS требует проводить пентест не реже одного раза в двенадцать месяцев и после значимых изменений, а проверку сегментации — не реже раза в двенадцать месяцев, для поставщиков услуг — каждые шесть месяцев. DORA требует тестировать критичные системы не реже раза в год. Для остальных стандартов частота следует из вашей оценки рисков; обычно ожидается ежегодное тестирование.