asiakas kysyy viimeisimmän penetraatiotestimme tuloksista, pitääkö meidän ne toimittaa

Älä jaa raporttia itse, vaan vahvista tulos

Ei, yleensä et jaa penetraatiotestiraporttia suoraan asiakkaalle. Mitä asiakkaasi pyytää, on todiste siitä, että tunnistamiset haavoittuvuudet ja korjaat ne, ei teknisiä yksityiskohtia siitä, kuinka joku joskus pääsi sisälle. Raportti, jossa on tarkat havainnot, IP-alueet ja hyväksikäyttöpolut, on asiakkaallesi itselleen riski: mitä enemmän osapuolia kyseisellä asiakirjalla on, sitä suurempi riski, että se joutuu vääriin käsiin. Yleinen lähestymistapa on yhteenveto-vastaus: milloin viimeisin testi suoritettiin, kuka sen suoritti (sisäisesti vai ulkoisesti), olivatko kriittiset havainnot olemassa, ja korjattiinko ne. Se on linjassa haavoittuvuuksien havaitsemista ja korjaamista koskevan prosessin kanssa — siitä kysytään usein erillisenä osana, ja penetraatiotestikysymys on pohjimmiltaan sen erityinen muoto.

Jos asiakas haluaa enemmän yksityiskohtia, se voi tapahtua johdon yhteenvedossa ilman teknisiä hyväksikäyttöyksityiskohtia, tai testausyrityksen lausunnon kautta. Jos viimeaikaista penetraatiotestiä ei ole suoritettu, rehellisimpi vastaus on sanoa niin — älä keksi testiä, jota ei ole. Jos olet epävarma siitä, onko jokin riittävän arkaluonteista piilotettavaksi, käytä dossierissasi olevan luottamuksellisuuspainiketta sen sijaan, että päättäisit itse, mitä jaetaan ja mitä ei.

Missä tämä tulee: artikla 21 luku 2 ja Liite A

NIS2-direktiivin 21 artiklan 2 luvussa mainitaan kymmenen toimenpiteen joukossa nimenomaisesti politiikka ja menettelyt kyberturvallisuustoimenpiteiden tehokkuuden arvioimiseksi — penetraatiotesti on siitä yleinen toteutus, ei ainoa. ISO/IEC 27001 kehittelee tätä Liitteessä A teknisiä haavoittuvuuksien hallintaa koskevien valvontatoimenpiteiden kautta. Kumpikaan näistä lähteistä ei velvoita täydellisen testiraportin jakamista asiakkaalle tai ketjukumppanille; ne vaativat, että yritys osoittaa testaavansa ja seuraavansa tuloksia. Niille, joiden on määritettävä, sovelletaanko tämä luku ollenkaan, on kysymys siitä, ovatko yritys itse NIS2-direktiivin tai sen kansallisen täytäntöönpanon soveltamisalalla.