En revisor läser inte en rapport från ett penetrationstest så som en tekniker gör. Revisorn letar efter omfattningen och om den stämmer med den miljö som granskas, efter metoden, efter datumen, efter testarnas kvalifikationer och oberoende och efter bevis på att fynden har åtgärdats och testats om.
Vi anpassar testets omfattning efter det krav som testet ska uppfylla och strukturerar rapporten så att de svaren är lätta att hitta. Själva testningen minskas inte: ett test som bara är utformat för att klara en revision skyddar ingenting, och revisorer känner allt oftare igen ett sådant test när de ser det.
01Omfattning
Vad vi testar
PCI DSS v4.0.1: externa och interna penetrationstester enligt krav 11.4
PCI DSS: segmenteringstester av miljön för kortinnehavardata
SOC 2: testning som bevis för kriterierna om övervakning och sårbarheter
ISO/IEC 27001:2022: säkerhetsåtgärder för hantering av tekniska sårbarheter och för säkerhetstestning
DORA: testning av den digitala operativa motståndskraften i IKT-system
NIS2: bedömning av hur effektiva riskhanteringsåtgärderna är
GDPR artikel 32: regelbunden testning av tekniska och organisatoriska åtgärder
Säkerhetsfrågeformulär från kunder och partner som kräver ett aktuellt test
02Arbetssätt
Så utförs arbetet
01
Koppling till kraven
Vi fastställer vilket krav testet ska uppfylla, vad kravet innebär när det gäller omfattning, frekvens och metod och vad din revisor förväntar sig att se.
02
Anpassning av omfattningen
Testets omfattning anpassas till gränsen för den granskade miljön. Avvikelser dokumenteras och motiveras.
03
Testning
Testet följer vår standardmetodik för den typen av system. Inget utelämnas för att ramverket inte nämner det.
04
Bevis
Rapporten anger metod, datum, testarnas kvalifikationer och oberoende. Efter omtestet sammanfattar ett intyg resultatet för tredje parter, utan tekniska detaljer.
Poäng och vektor för allvarlighetsgraden hos varje fynd.
FIRST
06Frågor
Frågor om den här tjänsten
Gör testet att vi uppfyller kraven?
Nej. Om kraven är uppfyllda avgör din revisor utifrån alla säkerhetsåtgärder. Testet ger bevis för de krav som gäller säkerhetstestning och visar vad du behöver åtgärda innan revisorn kommer.
Kräver SOC 2, ISO/IEC 27001, NIS2 eller GDPR ett penetrationstest?
Inget av dem anger det med de orden som en obligatorisk säkerhetsåtgärd. De kräver att sårbarheter identifieras och att åtgärdernas effektivitet testas regelbundet. Ett penetrationstest är det bevis som revisorer oftast förväntar sig för de kraven. PCI DSS och DORA är uttryckliga.
Hur ofta måste testet upprepas?
PCI DSS kräver penetrationstester minst en gång var tolfte månad och efter betydande ändringar, och segmenteringstester minst en gång var tolfte månad, var sjätte månad för tjänsteleverantörer. DORA kräver testning av kritiska system minst en gång om året. För andra ramverk följer frekvensen av din egen riskbedömning; årlig testning är vad som vanligen förväntas.
Externa och interna penetrationstester av nätverk och Active Directory: från en exponerad tjänst eller en enda arbetsstation till kontroll över domänen.