az ügyfél az utolsó penetrációs teszt eredményeiről kérdez, ezt közölnünk kell-e

A jelentést nem kell megosztani, de az eredményt meg kell erősíteni

Nem, általában nem adod meg a penteszt-jelentést egy az egyben az ügyfélnek. Amit az ügyfél kér, az bizonyíték arra, hogy felderíted és elhárítod a sebezhetőségeket, nem pedig a technikai részleteket arról, hogy valaki hogyan tudott bejutni. Az egy jelentés, amely pontos megállapításokat, IP-tartományokat és kihasználási útvonalakat tartalmaz, maga az ügyfélnek is kockázat: minél több fél rendelkezik ezzel a dokumentummal, annál nagyobb a veszély, hogy nem a megfelelő helyre kerül. A szokásos megközelítés egy összefoglaló válasz: amikor volt az utolsó teszt, ki végezte (belső vagy külső), voltak-e kritikus megállapítások, és azok megoldódtak-e. Ez összhangban van az a sebezhetőségek felderítésére és elhárítására irányuló folyamattal — ezt gyakran külön pontként kérdezik meg, és a penteszt-kérdés valójában ennek egy specifikus formája.

Ha az ügyfél még több részletet szeretne, az technikai kihasználási részletek nélküli vezetői összefoglalóval vagy a tesztelő fél nyilatkozatával lehetséges. Ha nem készült közelmúltbeli penteszt, a legőszintébb válasz, hogy ezt közlöd — nem szabad kigondolni egy olyan tesztet, amely nem létezik. Ha kétséges vagy abban, hogy valami elég érzékeny-e ahhoz, hogy visszatartsad, akkor a dossziéban lévő bizalmasság gombra kattints, ahelyett, hogy saját magad döntesz arról, hogy mit és mit nem lehet megosztani.

Ezek forrása: a 21. cikk (2) bekezdése és az A melléklet

A NIS2-irányelv 21. cikkének (2) bekezdése a tíz intézmény között kifejezetten említi a kiberbiztonsági intézkedések hatékonyságának értékelésére vonatkozó politikákat és eljárásokat — a penteszt erre egy szokásos megoldás, de nem az egyetlen. Az ISO/IEC 27001 ezt az A mellékletben dolgozza ki a technikai sebezhetőség-kezelésre vonatkozó ellenőrzésintézkedéseken keresztül. Egyik forrás sem írja elő egy teljes tesztjelentés megosztását egy ügyfél vagy lánctárssal; azt kérik, hogy a vállalkozás bizonyítsa, hogy tesztel és nyomon követ. Annak számára, akinek meg kell állapítania, hogy ez a fejezet egyáltalán releváns-e, ott van a kérdés, hogy a vállalkozás maga a NIS2-irányelv vagy annak nemzeti átültetése hatálya alá tartozik-e.