ISO 27001:2022 och penetrationstest

Vad revisorn förväntar sig av er testning — och vad som skiljer en revisionssäker testrapport från en vanlig teknisk rapport.

SAMMANFATTNING

Guiden förklarar vad en revisor faktiskt förväntar sig av er säkerhetstestning enligt ISO 27001:2022, och vad som skiljer en revisionssäker testrapport från en vanlig teknisk rapport.

Kontrollerna som berör testning

Annex A 8.8 — hantering av tekniska sårbarheter: att ni känner till era sårbarheter, bedömer dem och åtgärdar i rimlig tid.
Annex A 8.29 — säkerhetstestning under utveckling och acceptans: att ny och förändrad funktionalitet testas innan den går i produktion.

Vad revisorn tittar efter

Att scopet är motiverat utifrån er riskbedömning, inte valt av bekvämlighet.
Att testaren är oberoende från den som byggt systemet.
Att fynden har riskklassning och en ägare.
Att åtgärder är genomförda och verifierade, med datum.
Att testningen återkommer och ingår i ledningens genomgång.

Revisionssäker rapport

En teknisk rapport listar fynd. En revisionssäker rapport kopplar dessutom scopet till riskbedömningen, redovisar metod och tidsperiod, namnger testaren och dokumenterar omtest och kvarstående accepterad risk. Skillnaden avgör om rapporten går att använda som bevis.

Vi skickar en nedladdningslänk till din arbetsmejl. Ingen uppföljning utan att du ber om det.

Se alla guider och checklistor