Клиент иска резултатите от нашия последния тест за пробиване, трябва ли да го предоставим

Не споделяй доклада, но потвърди резултата

Не, обикновено не предоставяш доклада от теста на проникване директно на клиента. Това, което клиентът ти иска, е доказателство, че идентифицираш и отстраняваш уязвимостите, а не техническите детайли как някой може да проникне. Доклад с точни констатации, IP диапазони и пътища за експлоатация е риск и за самия клиент: колкото повече страни имат този документ, толкова по-голяма е вероятността той да попадне в грешни ръце. Обичайният подход е обобщен отговор: кога е проведен последният тест, от кого (вътрешно или външно), дали са открити критични констатации и дали те са отстранени. Това съответства на процеса за идентифициране и отстраняване на уязвимостите — често се иска като отделен елемент, а въпросът за теста на проникване е всъщност една конкретна форма от него.

Ако клиентът иска повече детайли, може да предостави резюме за управление без технически детайли за експлоатация или декларация от тестовия орган. Ако не е проведен скорошен тест на проникване, най-честният отговор е да го кажеш — не измисляй тест, който не е проведен. Ако се колебаеш дали нещо е достатъчно чувствително за пътуване, използвай бутона за поверителност в досието вместо сам да определяш какво се споделя и какво не.

Откъде идва това: член 21, параграф 2 и Приложение А

Член 21, параграф 2 на Директивата NIS2 изрично назовава сред десетте мерки политики и процедури за оценка на ефективността на кибербезопасностните мерки — тест на проникване е един обичайно използван начин за изпълнение, но не единственият. ISO/IEC 27001 разработва това чрез контролни мерки за управление на техническите уязвимости в Приложение А. Нито един от тези източници не налага споделяне на пълен тестов доклад с клиент или партньор в веригата; те изискват организацията да докаже, че тестира и следи. За тези, които трябва да преценят дали този раздел е приложим, има въпросът дали организацията попада под Директивата NIS2 или национално прилагане на същата.