le client demande les résultats de notre dernier test de pénétration, devons-nous les fournir

Ne pas partager le rapport lui-même, mais confirmer le résultat

Non, généralement vous ne transmettez pas le rapport de pentest un-à-un au client. Ce que votre client demande, c'est la preuve que vous détectez et corrigez les vulnérabilités, pas les détails techniques de la façon dont quelqu'un a pu un jour accéder au système. Un rapport contenant les conclusions exactes, les plages IP et les chemins d'exploitation est en soi un risque pour le client : plus le nombre de parties ayant accès à ce document est élevé, plus le risque qu'il ne se retrouve au mauvais endroit augmente. L'approche courante consiste à fournir une réponse résumée : quand le dernier test a été effectué, par qui (en interne ou en externe), s'il y a eu des conclusions critiques, et si elles ont été résolues. Cela correspond à le processus d'identification et de correction des vulnérabilités — c'est souvent ce qui est demandé comme élément distinct, et la question du pentest en est en fait une forme spécifique.

Si le client souhaite néanmoins plus de détails, ceux-ci peuvent être fournis via un résumé à l'intention de la direction sans détails techniques d'exploitation, ou via une déclaration du prestataire de test. S'il n'y a pas eu de pentest récent, la réponse la plus honnête est de l'indiquer — ne pas inventer un test qui n'a pas eu lieu. Si vous doutez qu'une information soit suffisamment sensible pour être retenue, utilisez plutôt le bouton de confidentialité dans le dossier au lieu de décider vous-même de ce qui doit ou ne doit pas être partagé.

D'où cela provient : article 21, paragraphe 2 et Annexe A

L'article 21, paragraphe 2 de la directive NIS2 mentionne explicitement, parmi les dix mesures, une politique et des procédures pour évaluer l'efficacité des mesures de cybersécurité — un pentest en est une application courante, mais pas la seule. La norme ISO/IEC 27001 l'explicite dans l'Annexe A par le biais des mesures de contrôle relatives à la gestion des vulnérabilités techniques. Aucune de ces deux sources ne contraint le partage d'un rapport de test complet avec un client ou un partenaire de la chaîne ; elles demandent que l'entreprise démontre qu'elle teste et assure le suivi. Pour celui qui doit déterminer si ce chapitre s'applique du tout, il y a la question de savoir si l'entreprise elle-même relève de la directive NIS2 ou de sa transposition nationale.