NIS2和GDPR:渗透测试如何证明合规性
NIS2是欧盟的一项指令,然而摩尔多瓦公司却不断被要求证明其系统经过测试. 以下是一个渗透测试如何回答这个问题——以及每个框架实际需要什么证据.
一个Chișinău fintech的采购经理打开一个德国伙伴的电子邮件, 摩尔多瓦没有法律规定她必须这样做。 没有监管者敲她的门。 然而,这一要求是真实的、合同性的和不可谈判的 & mdash; 因为它的合伙人对新谢克尔2做出答复,而新谢克尔2要求其供应链证明同样的事情。 这就是欧洲网络监管的悄悄方式:不是通过议会投票,而是通过在供应商协议上签字。
本指南解释NIS2和GDPR如何各自回答“你能证明你的系统经过测试吗?” & mdash;以及渗透测试如何产生两个框架所寻求的确切证据。
NIS2是否适用于摩尔多瓦公司?
简短的答复是否定的,而不是直接的。 新谢克尔2是欧洲联盟的一项指令,指令对成员国而不是第三国具有约束力。 摩尔多瓦不在欧盟,因此没有摩尔多瓦公司在一天早晨醒来时,是欧洲法律中依法指定的"基本实体". 如果这是整个故事,这篇文章将在这里结束。
这不是整个故事。 要求通过三个具体渠道到达摩尔多瓦公司,大多数组织发现它们很难找到 & mdash; 中标或中审计。
- 欧盟的业务或子公司。 如果在欧洲市场上提供服务或经营在欧洲注册的实体,则可以直接归入“基本”或“重要”实体的范围,并承担随之而来的所有义务。
- 供应链。 如果您是受监管的欧盟实体的供应商,该实体必须证明其自己的NIS2合规性和mdash;并且不能无视其供应商。 要求以安全问卷、合同条款和证据要求的形式向上游传播。
- 立法调整。 摩尔多瓦正在逐步使其网络安全框架符合欧洲标准。 主动采用这些要求的公司在公开招标和伙伴关系谈判中获得了真正的竞争优势。 简而言之:不要等待2新谢克尔成为当地法律。 如果向欧盟出售,或者在某人的供应链中坐着,则要求已经通过合同,而不是通过法规触及到您。
注:NIS2的供应链逻辑是故意递归的. 受监管实体必须管理其供应商带来的风险,这意味着它必须从供应商那里收集证据。 您的合规文件实际上是客户合规文件的一个组成部分。
当测试
NIS2第21条时,需要组织采取“适当和相称的技术、业务和组织措施”,以管理网络风险。 语言刻意是广义的 & mdash; 它没有规定特定的工具或销售商. 但是,在必要措施清单中隐藏的是一个改变一切的条款:对这些安全措施的“em>效能的评价。 再说一遍,因为它是整个合规论点所依赖的。 辩护是不够的。 你必须能证明你的辩护有效 一个防火墙规则,一个访问政策,一个加密的数据库 & mdash; 这些都不是他们自己的证据. 它们是权利主张。 在审计中,未经核实的索赔只是政策文件中的一个句子。 穿透测试精确地产生了缺失的一部份:对你们防御现实攻击场景的实用的,对抗性的验证,记录在一份审计员和合伙人接受为证据的报告中. 它将"我们有控制"转换为"我们测试了我们的控制,这里就是发生的事情"
GDPR如何连接到渗透测试
GDPR运行在不同的轴上. 它不关心你的网络架构;它关心通过它流动的个人数据. 第32条要求采取适当的技术措施,以确保个人数据和mdash的 " 强烈的 " 保密性、完整性和 "/强的 " 可用性,以及关键的是这些措施的 " 定期测试、评估和评价有效性的程序"。 这句话不是装饰性的。 人们明确期望反复进行试验,结果可以评估。 穿透测试确定个人数据可以暴露的确切位置:一个脆弱的网络应用程序,一个未经认证的API端点,一个错构的云存储桶,一个内部服务过于慷慨地信任网络. 每个发现都是潜在的个人数据破损,等待正确的攻击者 & mdash;每个发现一旦记录并补救,都是数据保护干事的直接审计证据.
这两个框架之间的差异是一个框架问题,而不是实质性问题。 NIS2询问您的风险管理是否有效. GDPR询问您持有的个人数据是否实际受到保护. 单个范围很强的渗透测试既能回答问题, 因为攻击者并不区分遵守义务和数据保护义务 & mdash; 它们只是走过任何开着的门。
每个框架都要求 & mdash; 以及一个笔试结果
下表列出了交付品的需求。 这是绘图审计员要求的,也是将技术报告转化为合规文物的绘图。
框架 相关要求 笔试可提供 风险管理有效性评估 对辩护进行实际核查,并将调查结果报告作为书面证据 GDPR & mdash;第32 t>t>d>OWASP Top 10 t>d>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>d>d>t>t>d>d>t>t>d>t>t>d>t>t>t>t>t>t>t>t>t>t>d>t>t>t>t>t>t>t>t>t>t>t>t>t>t>d>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t>t> 注意第四排 注意第四排 具体部门制度和mdash;银行、付款、保险和mdash;往往比仅2新谢克尔或GDPR更为严格和规范。 在摩尔多瓦,金融机构和付款处理者正利用这些交付品支持审计过程和在摩尔多瓦国家银行登记。 如果主管有自己的期望,报告必须使用主管的语言,而不仅仅是测试者的语言。条 确定个人数据曝光路径以及DPO 直接输入你遵守文件
在这里,许多组织得到了一个令人不愉快的惊喜。 渗透测试不是单一的PDF,原始的脆弱性清单不是遵守文件. 审计师、合伙人和监事们真正想要的是一套结构化的文物,这些文物讲述了从发现到解决的一致故事。
- 一份技术报告,其中确定了各种脆弱性、对每一种脆弱性的风险评估和具体的补救步骤。
- 为管理层和董事会 & mdash撰写的执行摘要;没有开发代码,只是风险、影响和优先事项。
- 应请求将调查结果绘制为 " 国家情报和安全局2 " 和 " GDPR要求 " /强 " ,因此每一项调查结果都可追溯到它所触及的义务。
- 在补救后重新测试
最后一个项目是人们低估的。 一份显示十种关键脆弱性的报告本身就是问题和mdash的证据;而不是良好安全的证据。 重新测试是关闭环路并显示一个正常运作的补救过程。 这是"我们发现问题"和"我们发现,解决,核实"的区别. 审计员非常了解这种区别,他们也寻找这种区别。 重要:渗透测试报告是敏感文件. 它准确地描述了你的系统是如何被打破的. 将其作为机密材料进行有控制的分发,从不将其全部附在广泛的供应商问卷和mdash;而是提供执行摘要和补救状况。
你应多久测试一次?
诚实的答案是,没有单一的数字,但有一个合理的基线:至少每年一次,在对您的系统进行重大修改后,新的基础设施、云迁移、收购或新的公共宣传服务。 受管制的环境往往更频繁地进行试验,或转向持续试验,正是因为它们的系统不能持续12个月。 理由很简单。 穿透测试是移动目标的快照. 你的建筑一变,即开始变老 如果上次测试早于您上次主要部署, 您没有当前安全态势的证据 & mdash; 您有系统已经不存在的证据 。 审计师发现缺口后会问,而"我们计划安排一些事情"并不是一个解答。
许多组织都采取了这样的实际做法:每年进行一次全面测试,围绕重大改变进行有针对性的测试,在每个补救周期后进行重新测试。 它不光彩,但它产生一个连续的,可核查的线索 & mdash; 这正是一个合规文件应该是什么。
战略观点:合规作为副产品
有一种诱惑是把新谢克尔2和GDPR当作文件练习和mdash;框来勾勾勾勾,文件来归档,问卷来生存. 这种框架可以理解,而且几乎总是适得其反。 这些框架是由那些目睹了真正违法行为发生的人撰写的,他们的要求在底部是诚实的要求:证明你知道自己的弱点,并且正在对他们做一些事情。 渗透测试是少数能真正满足要求的活动之一,而不是以实际行动满足要求。 它不要求你断言你是安全的。 它要求一名对抗性专家尝试证明你不是,然后记录所发生的事情. 当答案回来 发现,你修复它们。 当它恢复干净时,你赢得了你实际上可以辩护的权利。
对摩尔多瓦公司来说,实际的结论是:监管压力是在立法通过之前很久才通过合同和供应链形成的,那些将测试视为竞争性资产而不是合规成本的组织将赢得投标、通过审计和保持欧洲伙伴。 您的对应方最终会问的问题不是您是否有政策。 而是能否证明你的系统被测试过 答案应该已经写在一个文件里,日期、签名和准备发送。
这些材料是信息性的,不构成法律咨询。 NIS2和GDPR的适用性取决于每个组织的具体情况;请法律专家解释