知识中心
渗透测试与信息科技审计知识中心。
了解各类经授权安全评估所涵盖的内容、检查范围、采用的指南，以及最终报告所载的信息。
渗透测试
网络渗透测试包括什么
用于内部和外部网络评估的范围、测试覆盖范围、行业指南、证据和报告。
阅读文章渗透测试
Web应用程序渗透测试包括什么
网页应用程序范围、已认证测试、业务逻辑审查和最终报告的实用指南。
阅读文章渗透测试
移动应用程序渗透测试包括什么
涵盖 iOS 及 Android 应用程序、设备存储、平台控制、通讯、API 及报告。
阅读文章渗透测试
API渗透测试包括什么
REST、GraphQL和服务接口的范围界定、测试、证据收集和报告方式。
阅读文章渗透测试
云渗透测试包括什么
云身份、工作负载、存储、网络、日志记录、权限路径和报告覆盖范围解释。
阅读文章渗透测试
无线渗透测试包括什么
无线加密、认证、隔离、流氓访问情境及评估报告解说。
阅读文章渗透测试
Active Directory渗透测试包括什么
一份指南涵盖身份架构、权限、信任、凭证、攻击路径、强化措施和报告。
阅读文章渗透测试
物联网渗透测试的内容
设备、固件、接口、通信、连接服务和产品安全报告说明。
阅读文章IT审计
IT安全审计包括什么
审计准则、证据、控制差距、风险、建议和管理报告的结构。
阅读文章法律及监管驱动因素
为何法律及法规要求进行渗透测试。
在欧洲、美国和亚洲各地，法例和行业框架日益要求机构测试其安全控制措施的有效性。获授权的渗透测试和 IT 审计提供监管机构、审计师和业务伙伴所期望的书面证据。
欧洲
欧洲法律将安全测试视为组织保护个人数据和基本服务的职责一部分。
GDPR，第32条
要求采取与风险相称的技术和组织措施，包括定期测试、评估和评价安全控制有效性的流程。
NIS2 指令
要求关键和重要实体管理网络风险并验证措施；渗透测试是证明控制措施实际有效的一种公认方式。
DORA
对于欧盟的金融实体，强制要求进行数字运营韧性测试，包括针对指定机构基于威胁情报的渗透测试。
国家框架
行业和国家法规（例如医疗保健、能源和政府领域）经常将独立安全测试作为尽职审查的证据。
美国
美国的义务源于联邦法规、行业标准和州隐私法。许多都明确要求进行渗透测试。
PCI DSS
要求11强制规定，任何存储、处理或传输支付卡数据的机构，必须定期对持卡人数据环境进行渗透测试。
HIPAA 安全规则
要求受涵盖实体评估技术保障措施；渗透测试是验证电子健康数据保护是否有效的公认方法。
GLBA / SOX
金融及上市公司必须证明其对财务系统和客户信息的控制经过测试。
州隐私法
《加州消费者隐私法案》/《加州隐私权法案》等法律要求合理的安全程序；文档化的测试对于证明符合该标准至关重要。
亚洲
在亚洲各地，数据保护和网络安全法律日益要求机构评估和测试其防御措施。
新加坡 PDPA
保护义务要求合理的安全安排；监管机构将定期测试列为泄露事件后预期的做法。
中国PIPL及网络安全法
要求对处理个人资料和关键网络基础设施的系统进行安全评估和测试。
日本APPI
要求对个人资料采取必要和适当的安全控制措施，并透过测试证明其有效性。
印度 DPDP 法案及 CERT-In 指示
授权合理的安全保障和报告；定期审计和测试支持数据受托人的合规性。
香港
香港监管机构期望有可证明、经过测试的安全控制措施，特别是针对金融机构和关键基础设施。
《个人资料（私隐）条例》（第486章）
数据使用者必须采取一切切实可行的步骤来保护个人数据；隐私专员将定期测试视为该职责的一部分。
PCPD 数据安全指引
建议组织评估和测试技术保障措施的有效性，并在执法结果中引用测试。
金管局要求
认可机构必须维持网络韧性计划，其中包括定期对暴露于互联网的系统进行渗透测试。
关键基础设施条例
关键计算机系统的运营商必须实施并维持安全措施，独立测试结果应作为证明。
此概述为一般信息，并非法律意见。具体适用的义务取决于您的行业、您处理的数据以及您运营的司法管辖区。DIGITPOL HK 在项目范围界定期间确认适用要求。