Penetrationstest vs. säkerhetsvalidering: vad som passar när

Vad ett penetrationstest ger

Vid ett penetrationstest försöker erfarna testare ta sig in i system inom en överenskommen omfattning och tidsperiod. Styrkor: kreativitet, förståelse för affärslogik, djup analys av enskilda applikationer. Begränsningar: Testet visar läget vid en viss tidpunkt och genomförs oftast bara en eller två gånger per år.

Vad kontinuerlig säkerhetsvalidering ger

Säkerhetsvalidering – ofta kallad breach and attack simulation (BAS) eller automatiserat penetrationstest – återskapar kända angreppstekniker under kontrollerade former. Den visar löpande vilka steg som blockeras, upptäcks eller förblir obemärkta, och kontrollerar efter varje åtgärd på nytt om luckan verkligen är stängd.

När ni behöver vad

• Penetrationstest: före lansering av nya applikationer, för djupa granskningar av kritiska system, när regelverk uttryckligen kräver det.
• Validering: för löpande belägg för att skyddsåtgärderna fungerar, efter förändringar och för att bekräfta åtgärder.
• Båda tillsammans: fynd från pentestet förs in i valideringen och övervakas varaktigt.

Regelverk: NIS2 och DORA

NIS2 kräver policyer och förfaranden för att utvärdera riskhanteringsåtgärdernas effektivitet. DORA kräver att finansiella företag har ett program för testning av digital operativ motståndskraft; utvalda, betydande företag måste dessutom genomföra hotstyrda penetrationstester (TLPT) minst vart tredje år. Kontinuerlig validering ersätter inte sådana obligatoriska tester, men ger löpande underlag däremellan.