Добрый день,

Подскажите пожалуйста, что конкретно должно входить в данный тест?
Социальная инженерия должна входить в него обязательно?

Ответ на Ваш вопрос можно найти на сайте в официальном документе PCI Security Standard Counsil - Information Supplement: Requirement 11.3 Penetration Testing

Привожу ссылку на этот документ:
https://www.pcisecuritystandards.org/security_standards/pci_dss_supporting_docs.shtml
Вот что написано в этом документе в разделе "Components":
Consider including all of these penetration-testing techniques (as well as others) in the methodology, such as social engineering and the exploitation of exposed vulnerabilities, access controls on key systems and files, web-facing applications, custom applications, and wireless connections.

То есть использование методов социальной инженерии необходимо как один из компонентов теста на проникновение.

Спасибо за ответ

Хочу уточнить мой предыдущий пост по вопросу обязательности использования тех или иных методов, включая социальную инженерию:

Постулат 1. При определении методологии, которая будет использоваться в рамках пен-теста, надо анализировать необходимость и ценность применения каждой и перечисленной выше технологии пен-тестов (в том числе и социальную инженерию).

Постулат 2: Существует вероятность того, что применение какого-либо из методов в какой-то конкретной ситуации может не иметь смысла . Например, не имеет смысла пытаться реализовывать атаки на внутренние ресурсы через рассылки по внешней почте пользователям, если сеть организации и сеть доступа в интернет физически разделены (воздушная прослойка) и то, что это действительно так, уже однозначно подтверждено.

Отсюда следует Постулат3: Если в отчете о проведенном пен-тесте нет информации о результатах применения социальной инженерии и нет обоснования почему эта технология не использовалась, это еще не означает, что аудитор тут же ставит несоответствие. Это означает только, что он задает вопрос, ПОЧЕМУ этот метод не использовался и исходя из полученной аргументации, принимает решение о допустимости его исключения и значимости результатов пен-теста.