el cliente pregunta por los resultados de nuestra última prueba de penetración, debemos darlos

No compartir el informe, pero sí confirmar el resultado

No, generalmente no entregas el informe de pentest directamente al cliente. Lo que tu cliente solicita es prueba de que identificas y corriges vulnerabilidades, no los detalles técnicos de cómo alguien pudo acceder en algún momento. Un informe con hallazgos exactos, rangos de IP y rutas de explotación es en sí un riesgo para el cliente: cuantas más partes tengan ese documento, mayor es la probabilidad de que termine en las manos equivocadas. El enfoque habitual es una respuesta resumida: cuándo se realizó la última prueba, quién la realizó (interno o externo), si hubo hallazgos críticos y si se han resuelto. Esto se alinea con el proceso de identificación y corrección de vulnerabilidades — a menudo se pregunta como un apartado separado, y la pregunta sobre pentest es en realidad una forma específica de esto.

Si el cliente quiere más detalle, puede proporcionarse a través de un resumen ejecutivo sin detalles técnicos de explotación, o a través de una declaración de la empresa que realiza la prueba. Si no se ha realizado un pentest reciente, la respuesta más honesta es decirlo — no inventar una prueba que no existe. Si tienes dudas sobre si algo es lo suficientemente sensible como para retener, utiliza el botón de confidencialidad en el dossier en lugar de decidir por ti mismo qué se comparte y qué no.

Procedencia: artículo 21, apartado 2 y Anexo A

El artículo 21, apartado 2 de la Directiva NIS2 menciona explícitamente entre las diez medidas la política y los procedimientos para evaluar la eficacia de las medidas de ciberseguridad — una pentest es una forma habitual de implementarlo, no la única. La ISO/IEC 27001 lo desarrolla en el Anexo A a través de las medidas de control relacionadas con la gestión de vulnerabilidades técnicas. Ninguna de estas dos fuentes obliga a compartir un informe de prueba completo con un cliente o socio comercial; exigen que la empresa demuestre que realiza pruebas y hace seguimiento. Para quien debe determinar si este capítulo es aplicable en absoluto, está la cuestión de si la empresa está sujeta a la Directiva NIS2 o su transposición nacional.