По изискване
Един тест, много одити
Повечето организации отговарят пред няколко рамки, всяка от които иска доказателства за тестване на сигурността. Определяме обхвата на един годишен тест така, че докладът, съотнасянето към контролите и писмото за повторен тест да обслужват всеки одит, и посочваме къде отделен обхват е неизбежен.
Какво изисква
Какво изискват тези рамки от тестването на сигурността
Те не искат едно и също. ISO 27001 и SOC 2 не изискват тест за проникване, но очакват доказателства, че техническите уязвимости се управляват и че контролите се оценяват. PCI DSS е предписателен: вътрешни и външни тестове поне веднъж на 12 месеца и след значима промяна, плюс тестване на сегментацията. DORA изисква годишно тестване на системите, поддържащи критични или важни функции, и тестване, водено от заплахи, за определените субекти. NIS2 изисква субектите да преценят дали мерките им за управление на риска са ефективни.
Припокриването е достатъчно голямо, че един тест с добре определен обхват може да обслужи няколко одита. Единна методология, обхват, покриващ обединението на системите в обхвата, констатации, съотнесени към контролите на всяка рамка, и писмо за повторен тест дават на всеки проверяващ нещо конкретно. Това не е гаранция: всеки одитор, QSA или надзорен орган решава какво приема, а някои дейности — например тестването на сегментацията по PCI DSS или TLPT по DORA — имат свои правила, които може да изискват отделен обхват.
ISO/IEC 27001:2022, Приложение А 8.8 и 8.29
Тестването за проникване не е задължително, но когато контролите за управление на техническите уязвимости и за тестване на сигурността при разработка и приемане са избрани, трябва да покажете, че действат. Независим тест с проследено отстраняване е често срещан начин те да бъдат доказани; сертифициращият орган решава какво приема.
SOC 2, CC4.1, CC7.1 и CC4.2
Не е изрично задължително. Насока към CC4.1 назовава тестването за проникване като вид оценка; CC7.1 покрива засичането на уязвимости, а CC4.2 — своевременното отстраняване на недостатъци. Одиторската фирма преценява дали тестът подкрепя описаните от вас контроли.
PCI DSS v4.0.1, изискване 11.4
Изрично. Документирана методология, вътрешни и външни тестове поне веднъж на 12 месеца и след значима промяна, повторно тестване на коригираните констатации и тестване на сегментацията, когато тя намалява обхвата — на всеки шест месеца при доставчиците на услуги.
DORA, Регламент (ЕС) 2022/2554, членове 24 до 26
Програма за тестване, основана на риска, провеждана от независими тестери, с подходящи тестове поне веднъж годишно на ИКТ системите, поддържащи критични или важни функции. Тестването за проникване е сред изброените тестове; определените субекти се нуждаят и от TLPT поне веднъж на три години.
NIS2, Директива (ЕС) 2022/2555, член 21
Мерките трябва да включват политики и процедури за оценка на ефективността на управлението на киберриска. За определени доставчици на цифрови услуги Регламент за изпълнение (ЕС) 2024/2690 добавя политика за тестване на сигурността, основана на риска, с документирана методология, резултати и мерки за смекчаване.
Клиентски въпросници за сигурност
Не са рамка, но често са най-честото искане: доказателство за независим тест през последната година, неговият обхват и потвърждение, че констатациите с висок риск са отстранени. Резюме за споделяне и писмо за повторен тест обикновено отговарят на това.
Какво да се тества
Определяне на обхвата на един тест за няколко одита
Изградете обединението на обхватите
Изброете какво покрива всяка рамка: обхвата на системата за управление, описанието на системата по SOC 2, средата с данни на картодържатели и ИКТ системите, поддържащи критични или важни функции. Обхватът на теста е обединението, като всеки обект се обозначава с рамките, които обслужва.
Прилагайте най-строгото правило
Когато изискванията се различават, приемете най-строгото: елементите на методологията по PCI DSS, организационната независимост на тестерите, тестването след значима промяна и съхранението на резултатите. Изпълнението на строгия вариант обикновено удовлетворява по-леките.
Съобразете се с одитния календар
Планираме теста и повторните проверки спрямо периода на SOC 2 Type 2, надзорния одит по ISO и 12-месечния интервал по PCI DSS. Когато датите не съвпадат, предварително определяме приоритетите и необходимите допълнителни проверки.
Отделете това, което се нуждае от собствен тест
Тестването на сегментацията по PCI DSS, шестмесечният цикъл за доставчици на услуги и TLPT по DORA следват собствена честота и процес. Определяме ги в самото начало и им даваме отделен обхват, вместо да разтягаме годишния тест.
Какво получавате
Един пакет доказателства, много читатели
Технически доклад
Методология, обхват, дати, независимост на тестера и подробни констатации с доказателства за експлоатацията и насоки за отстраняване, написани така, че да стоят самостоятелно пред одитор, QSA или надзорен орган, който не е присъствал на теста.
Приложение със съотнасяне към контролите
Всяка констатация и дейност по тестване, съотнесена към съответния контрол във всяка рамка — например Приложение А 8.8, CC7.1, PCI DSS 11.4 или член 25 от DORA. Съотнасянето е насока; всеки одитор стига до собствено становище.
Писмо за повторен тест
Датирано писмо, потвърждаващо кои констатации са тествани повторно и потвърдени като отстранени. То подкрепя PCI DSS 11.4.4, SOC 2 CC4.2, изискването на DORA да бъдат отстранени проблемите от тестването, както и въпроса, който клиентите задават най-често.
Резюме за споделяне
Резюме за ръководството или атестационно писмо за клиенти и партньори, потвърждаващо, че е проведен независим тест, и очертаващо обхвата и резултата, без да излага детайли, годни за експлоатация.
Чести капани
Къде комбинираното тестване не достига
Грешки, които струват време при одит, и как да ги избегнете.
Допускането за приемане
Пакет доказателства, изграден за няколко рамки, все пак трябва да удовлетвори всеки проверяващ поотделно. Договорете предварително с вашия одитор, QSA или надзорен орган, че обхватът и методологията отговарят на очакванията им.
Отклонение на обхвата между одитите
Тест с обхват, съобразен с границата на ISO сертификата, може да пропусне част от средата с данни на картодържатели или компонент от системата по SOC 2. Несъответстващият обхват е обичайната причина комбинираните доказателства да бъдат оспорени.
Третиране на годишния тест като TLPT
TLPT по DORA е воден от заплахи, протича върху реално работещи продукционни системи, обхватът му се валидира от компетентния орган и следва собствен процес. Стандартният годишен тест за проникване не го замества.
Пренебрегване на тестването, предизвикано от промяна
PCI DSS изисква тестване след значими промени в инфраструктурата или приложенията, а не само веднъж годишно. Един-единствен годишен тест оставя пропуски, ако след него последва голямо издание или миграция.
Кой решава какво се приема
PXLSec е независима фирма за офанзивна сигурност, а не одитор, оценител, сертифициращ орган или регулатор. Ние извършваме тестването и осигуряваме доказателствата; вашият одитор, оценител или компетентен орган решава какво приема. Тази страница е обща насока, а не правен съвет.
Често задавани въпроси
Често задавани въпроси
Може ли наистина един тест за проникване да удовлетвори няколко одита?
Често да, за основния годишен тест, защото рамките се припокриват силно в това, което искат да видят. Работи, когато обхватът покрива системите на всяка рамка и методологията отговаря на най-строгото изискване. Всеки одитор или оценител все пак решава сам какво приема.
Ще приеме ли нашият QSA тест, използван и за ISO 27001 и SOC 2?
Повторното използване е често срещано, но тестът трябва да отговаря на изискване 11.4 на PCI DSS по собствените му условия, включително методология, покритие на средата с данни на картодържатели и независимост на тестера. Тестването на сегментацията може да се нуждае от собствен обхват, а при доставчиците на услуги — от шестмесечен цикъл. Потвърдете с вашия QSA.
Това замества ли тестването за проникване, водено от заплахи, по DORA?
Не. TLPT се отнася за финансовите субекти, определени от техния компетентен орган, поне веднъж на три години, върху реално работещи продукционни системи с обхват, валидиран от органа. То следва специален процес, воден от заплахи. Годишният тест за няколко рамки подкрепя по-широката програма за тестване по DORA, а не TLPT.
PXLSec одиторът ли е?
Не. PXLSec е фирма за офанзивна сигурност. Не сме одиторска фирма, сертифициращ орган, QSA или надзорен орган и не издаваме доклади по SOC 2, ISO сертификати или атестации за съответствие. Ние осигуряваме независими доказателства от тестване за онези, които го правят.
Как се справяте с различни одитни дати?
Първо уточняваме периодите и сроковете на отделните одити. След това планираме теста и повторната проверка така, че да покрият най-важните срокове. При разминаване може да е необходим допълнителен целеви тест или повторен тест по-късно през годината.
Това съвет за съответствие ли е?
Не. Тази страница е обща насока, основана на публикуваните рамки и обичайната одитна практика. Изискванията се променят и тълкуванията се различават, затова потвърдете обхвата и доказателствата с вашите одитори, оценители и регулатори.
Услуги, които осигуряват това
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност