Penetration test e ISO 27001: cosa può e cosa non può dimostrare un test

La ISO/IEC 27001 chiede a un'organizzazione di gestire un sistema di gestione della sicurezza delle informazioni. Include controlli sulla gestione delle vulnerabilità tecniche e sui test di sicurezza. Un penetration test li supporta, ma è un'evidenza, non una certificazione.

Cosa può mostrare a un auditor

• Che hai verificato in modo indipendente un perimetro definito.
• Cosa è stato trovato, quanto era grave e quando.
• Che i problemi sono stati corretti e verificati di nuovo.

Cosa non può mostrare

• Che l'intero sistema di gestione funziona.
• Che altri sistemi fuori perimetro siano al sicuro.
• La conformità da solo. La certificazione la decide l'ente di certificazione, non il tester.

Usarlo bene

Tieni insieme il report, le registrazioni delle correzioni e gli esiti dei nuovi test, e collegali alla tua analisi dei rischi. A un auditor interessa di solito più il processo con cui trovi e correggi che un report pulito.