Hur ofta ska man penetrationstesta?
KORT SVAR
Grundregeln är minst ett penetrationstest per år, och därutöver test vid större förändringar: en ny applikation, en omskriven behörighetsmodell, en migrering till molnet, en ny integration mot en extern part eller en förändrad nätverksarkitektur.
När fynd har åtgärdats bör ett omtest göras för att bekräfta att åtgärden faktiskt stänger hålet och inte har öppnat ett nytt.
Vad regelverken säger
- ISO 27001:2022 — Annex A 8.8 och 8.29 kräver hantering av tekniska sårbarheter och säkerhetstestning under utveckling. Ingen fast frekvens anges, men revisorer förväntar sig i praktiken återkommande testning, vanligtvis årligen.
- PCI DSS 4.0.1 — krav 11.4 anger externt och internt penetrationstest minst en gång per år samt efter varje betydande förändring. Segmenteringstester har egna, tätare intervall.
- DORA — finansiella aktörer ska testa digital motståndskraft årligen, och utpekade aktörer ska dessutom genomföra hotbaserad penetrationstestning (TLPT) med några års mellanrum.
- NIS2 och cybersäkerhetslagen — kräver att åtgärdernas effektivitet utvärderas, utan att ange ett intervall. Årlig testning av det affärskritiska är en rimlig tolkning.
Årligt test räcker sällan för system som ändras ofta
Om ni släpper ny kod varje vecka speglar ett test i mars inte den applikation som körs i oktober. För system under aktiv utveckling är det bättre att testa vid varje större release av funktionalitet som rör inloggning, behörigheter, betalningar eller känsliga data, och lägga ett bredare test en gång om året.
Skillnaden mot sårbarhetsskanning
Sårbarhetsskanning är automatiserad och kan köras kontinuerligt. Den fångar kända sårbarheter, saknade patchar och felkonfigurationer — men bedömer inte om ett fynd faktiskt går att utnyttja i just er miljö.
Penetrationstest är manuellt arbete som verifierar vad en angripare kan göra i praktiken: kedja ihop fel, missbruka affärslogik och ta sig vidare i miljön. De två ersätter inte varandra — skanna löpande, testa återkommande.
Rimligt årshjul
- Löpande: sårbarhetsskanning och patchning.
- Vid större förändring: riktat test av det som ändrats.
- Årligen: penetrationstest av det mest affärskritiska.
- Efter åtgärd: omtest som bekräftar att fyndet är stängt.