Ana sayfa Yazılar Sızma testi bir denetimin yerine geçer mi
Sızma testi bir denetimin yerine geçer mi
Geçmez. Sızma testi, imzalı formdaki adreste açığı arar, elle doğrular ve raporlar. Denetim, bir kontrolün politika veya standartta yazıldığı gibi durup durmadığına bakar. İkisinin sorusu farklıdır. Penetrasyon testi de denetim görüşünün yerine geçmez. Bir standart test istiyorsa, ölçü o standardın kendi metnidir.
Kısa sonuç
- Açık listesi, “bütün kontroller yerinde” belgesi değildir.
- Denetimde sorulan soru, form dışı adrese izin vermez.
- Kart verisi için ölçü PCI DSS metnidir. Bu yazı onun yerine geçmez.
- NIST, testi, incelemeyi ve görüşmeyi ayrı yöntem sayar.
İki soru
Sızma testi sorar: bu adreste, bu hesapla, bu davranış mümkün mü. Cevap bulgulu, elendi, temiz, uygulanamaz veya açık kalan olur. Bakılmayan yer, belgenin temiz sayfası değildir.
Denetim sorar: şu kontrol tanımlı mı, işletiliyor mu, kanıtı var mı. Görüşme ve belge incelemesi, isteğin yerine geçebilir. NIST SP 800-115 bu üç yöntemi ayırır. Test, nesneyi belirli koşulda çalıştırır. İnceleme, belgeye ve gözleme bakar. Görüşme, kişiyle konuşur. Birinin çıktısı diğerinin imzası değildir.
Standart ne isterse o okunur
Kart verisi tutuyorsanız PCI DSS v4.0.1 içindeki 11.4, iç ve dış penetrasyon testini anlatır. Ayrıntı güncel metindedir. Kart veriniz yoksa o maddeyi kendi denetiminize kopyalamayın. Başka bir çerçevenin “test yapılmalı” cümlesi de, bizim teslim ettiğimiz raporun o çerçevenin belgesi olduğu anlamına gelmez.
Nasıl yan yana durur
Denetçi, teknik raporu kanıt diye isteyebilir. Rapor, formdaki adresin o turdaki halini anlatır. Denetimin bütün sorularını kapatmaz. Kapsam dışı adres, raporda yoktur. Olmayan sertifika da rapordan çıkmaz.
İki işi aynı teklif satırına yazmayın. Test için iletişim, raporun içindekiler için rapor yazısı durur.