ISO/IEC 27001
Penetracijski testi za ISO 27001
Standard ISO/IEC 27001 besedne zveze »penetracijski test« ne uporablja, vendar kontrola 8.8 iz Dodatka A (Annex A) zahteva upravljanje tehničnih ranljivosti, kontrola 8.29 pa varnostno testiranje. Presojevalci obe razumejo kot zahtevo po neodvisnem testiranju, podprtem z dokazi.
Pripravimo natanko tista dokazila, ki jih certifikacijski organ želi videti pri začetni ali kontrolni presoji, in jih napišemo tako, da jim presojevalec sledi brez dodatnih pojasnil.
Zaupajo nam
ISO/IEC 27001
Katere kontrole podpira penetracijski test
Prvo certificiranje, kontrolna presoja ali varnostni vprašalnik stranke – vsakič pride na vrsto istih nekaj kontrol iz Dodatka A standarda ISO/IEC 27001 (slovenska izdaja: SIST EN ISO/IEC 27001:2023). Penetracijski test je za vsako od njih neposreden dokaz.
Tudi Haxoris ima certifikat ISO 27001, zato je sveženj dokazil, ki vam ga predamo, urejen enako kot tisti, ki ga vodimo v lastnem sistemu vodenja informacijske varnosti (ISMS).
Kontrola iz Dodatka A → kaj pripravimo
| Kontrola | Kaj pripravi Haxoris |
|---|---|
| Kontrola 8.8 – upravljanje tehničnih ranljivosti | Odkrijemo, potrdimo in po prioriteti razvrstimo ranljivosti, ki so v vaših sistemih res prisotne. Resnost in izkoristljivost dokažemo, ne le povzamemo po izpisu skenerja. |
| Kontrola 8.29 – varnostno testiranje pri razvoju in prevzemu | Aplikacije in vmesnike API testiramo po OWASP ASVS in WSTG, v terminih, ki se ujemajo z vašim ciklom izdaj in ga ne zavirajo. |
| Kontroli 8.25 in 8.28 – varen razvojni življenjski cikel in varno kodiranje | Vsako ugotovitev povežemo z vzorcem v kodi ali zasnovi, iz katerega izvira, zato popravek odpravi celo vrsto napak in ne le enega primera. |
| Kontrola 5.7 – obveščevalni podatki o grožnjah (threat intelligence) | Test izhaja iz napadalnih tehnik, ki se trenutno uporabljajo proti vaši panogi, ne iz splošnega kontrolnega seznama. |
| Točki 9.1 in 9.2 – spremljanje, merjenje in notranja presoja | Neodvisna meritev učinkovitosti kontrol, na katero se lahko vaš program notranje presoje neposredno sklicuje. |
Certificiranje, kontrolne presoje in ponovno certificiranje
| Faza | Kaj presojevalci običajno pričakujejo | Kaj prispevamo |
|---|---|---|
| Prvo certificiranje (1. in 2. stopnja presoje) | Dokaz, da upravljanje tehničnih ranljivosti deluje in ni le zapisano | Test celotnega obsega in evidenca odprave, nekaj tednov pred 2. stopnjo |
| Letna kontrolna (nadzorna) presoja | Dokaz, da se testiranje nadaljuje in da so prejšnje ugotovitve odpravljene | Letna ponovitev testa s primerjavo s prejšnjim |
| Ponovno certificiranje (triletni cikel) | Dokazljiv trend izboljšav skozi ves cikel | Medletni podatki o ugotovitvah: kaj se je spremenilo in kaj je ostalo odpravljeno |
Certifikacijski organi se razlikujejo v tem, kaj zahtevajo. Če vam je presojevalec sporočil konkretna pričakovanja, nam jih pošljite in obseg testa jim bomo prilagodili. Certifikat izda le akreditiran certifikacijski organ; Haxoris testira in pomaga pri pripravi, certifikatov pa ne izdaja.
Veriga dokazov, ki jo pričakuje presojevalec
Presojevalec išče sklenjen krog, ne datoteke PDF. Pripravimo vsak njegov člen:
Obseg in pooblastilo
Pisno določen obseg, povezan z vašo izjavo o uporabnosti (SoA), pravila izvedbe testa in podpisano pisno pooblastilo naročnika.
Poročilo o testu
Ugotovitve s stopnjo resnosti, vplivom na poslovanje, koraki za ponovitev in dokazi, povezane s kontrolami iz Dodatka A, na katere se nanašajo.
Evidenca odprave
Vsaka ugotovitev ima popravek, nosilca in rok – zapis, ki ga potrebuje vaš postopek korektivnih ukrepov.
Ponovni test in izjava
Brezplačno ponovno testiranje (retest) in pisna izjava o tem, kaj je odpravljeno – dokument, s katerim zaprete neskladnost.
Kaj dobite
Vsak projekt za ISO 27001 standardno vključuje:
Mnenja strank
Kaj o nas pravijo stranke
ISO 27001 in penetracijski testi – pogosta vprašanja
01 Ali ISO 27001 zahteva penetracijski test?
Ne s temi besedami. Kontrola 8.8 iz Dodatka A zahteva upravljanje tehničnih ranljivosti, kontrola 8.29 pa varnostno testiranje pri razvoju in prevzemu. V praksi presojevalci neodvisen penetracijski test sprejemajo kot najmočnejši razpoložljivi dokaz za obe, številni certifikacijski organi pa ga tudi pričakujejo.
Če ste hkrati zavezanec po Zakonu o informacijski varnosti (ZInfV-1, Uradni list RS, št. 40/25), ki v slovenski pravni red prenaša direktivo NIS2, upoštevajte: 28. člen zavezance usmerja k uporabi evropskih in mednarodnih standardov, vendar certifikat ISO/IEC 27001 sam po sebi ni dokaz skladnosti z zakonom (stanje na dan 12. novembra 2026). Tudi Urad Vlade Republike Slovenije za informacijsko varnost (URSIV) v priporočilih za upravljanje tveganj dobavnih verig (avgust 2026) opozarja: »Certifikat ISO/IEC 27001 sam po sebi ni dokaz, da je konkretna storitev ali dobavna veriga brez tveganj; preverite tudi obseg certificiranja in relevantnost kontrol za naročeno storitev.« Ali ste zavezanec, preverite pri URSIV oziroma s pravnim svetovalcem; ta stran ni pravno mnenje. Več v članku Ali ISO 27001 zadošča za NIS2 in ZInfV-1?
02 Kdaj je pravi čas za test glede na presojo?
Najbolje nekaj tednov pred 2. stopnjo presoje, da je dovolj časa za odpravo ugotovitev in ponovni test, preden pride presojevalec. Če testirate po presoji, se ugotovitve prenesejo v poročilo o presoji; če testirate prezgodaj, dokazi zastarajo.
03 Ali ugotovitve povežete s kontrolami iz Dodatka A?
Da, standardno. Pri vsaki ugotovitvi navedemo kontrole, na katere se nanaša, zato lahko skrbnik ISMS poročilo uvrsti k pravi kontroli, ne da bi ga moral znova brati.
04 Koliko stane penetracijski test za ISO 27001?
Odvisno od obsega. Osnovni test spletne aplikacije stane od približno 2.000 € naprej; širši obseg ISMS, ki zajema več sistemov, stane več. Običajen projekt obsega 5 do 15 delovnih dni, fiksno ceno pa ponudimo po kratkem posvetu o obsegu.
05 Ali ima tudi Haxoris certifikat ISO 27001?
Da – Haxoris ima certifikat ISO 27001, ki ga je izdal TÜV SÜD. Podatke o certifikatu vam na zahtevo z veseljem pošljemo, sveženj dokazil, ki ga predamo strankam, pa je urejen enako kot tisti, ki ga vodimo za lastne presoje.
06 Ali nam pomagate ugotovitve tudi odpraviti?
Pri odpravi svetujemo in popravke brezplačno ponovno preverimo, popravkov, ki jih priporočamo, pa namenoma ne prodajamo. Če isti izvajalec testira in odpravlja, izgine neodvisnost, ki jo presojevalec išče.
