kunde spørger efter resultater af vores seneste pentest, skal vi give det

Del ikke rapporten selv, bekræft resultatet

Nej, som regel deler du ikke penetrationstestrapport en-til-en med kunden. Det, som din kunde spørger efter, er bevis for, at du identificerer og udbedrer sårbarheder, ikke de tekniske detaljer om, hvordan nogen nogensinde kunne komme ind. En rapport med præcise resultater, IP-områder og exploit-stier udgør selv en risiko for kunden: jo flere parter der har dokumentet, jo større er risikoen for, at det kommer på afveje. Den almindelige fremgangsmåde er et opsummerende svar: hvornår den seneste test blev udført, af hvem (internt eller eksternt), hvorvidt der var kritiske resultater, og hvorvidt disse er blevet udbedret. Det stemmer overens med processen for identificering og udbedring af sårbarheder — der spørges ofte om det som en separat del, og penetrationstestspørgsmålet er i virkeligheden en specifik form af det.

Hvis kunden ønsker mere detaljer alligevel, kan det ske via en ledelsesopsummering uden tekniske exploit-detaljer, eller via en erklæring fra testpartneren. Hvis der ikke er udført en nylig penetrationstest, er det mest ærlige svar at sige det — ikke at opfinde en test, der ikke eksisterer. Hvis du er i tvivl om, hvorvidt noget er følsomt nok til at holde tilbage, skal du i stedet bruge fortrolighedsknappen i dossier i stedet for selv at bestemme, hvad der skal og ikke skal deles.

Hvor dette kommer fra: artikel 21, stk. 2 og Bilag A

Artikel 21, stk. 2 i NIS2-direktivet nævner blandt de ti foranstaltninger eksplicit politik og procedurer til vurdering af effektiviteten af cybersikkerhedsforanstaltninger — en penetrationstest er en almindelig udfyldning af det, ikke den eneste. ISO/IEC 27001 udfolder dette i Bilag A via kontrolforanstaltninger omkring teknisk sårbarhedsstyring. Ingen af disse kilder forpligter til at dele en fuldstændig testrapport med en kunde eller kædepart; de forlanger, at virksomheden demonstrerer, at den tester og følger op. For dem, der skal fastslå, om dette kapitel overhovedet er relevant, er der spørgsmålet om, hvorvidt virksomheden selv falder ind under NIS2-direktivet eller dets nationale implementering.