clientul întreabă rezultatele celui mai recent test de penetrare al nostru, trebuie să le furnizez

Nu partajezi raportul în sine, dar confirmi rezultatul

Nu, de obicei nu oferi raportul de pentest direct clientului. Ceea ce clientul tău cere este dovada că detectezi și remedezi vulnerabilitățile, nu detaliile tehnice despre cum ar fi putut cineva să pătrundă. Un raport cu constatări exacte, game-uri IP și căi de exploit prezintă un risc pentru clientul însuși: cu cât mai multe părți dețin documentul, cu atât mai mare este riscul ca acesta să ajungă în locul greșit. Abordarea obișnuită este un răspuns sumarizat: când a fost efectuat ultimul test, de cine (intern sau extern), dacă au existat constatări critice și dacă acestea au fost remediate. Aceasta se aliniază cu procesul de detectare și remediere a vulnerabilităților — acesta este adesea cerut ca o secțiune separată, iar întrebarea din pentest este de fapt o formă specifică a acestuia.

Dacă clientul dorește totuși mai multe detalii, acestea pot fi furnizate printr-un rezumat pentru management fără detalii tehnice de exploit, sau printr-o declarație a părții responsabile cu testul. Dacă nu a fost efectuat niciun test recent de pentest, răspunsul cel mai onest este să spui asta — nu să inventezi un test care nu există. Dacă te îndoiești dacă ceva este suficient de sensibil pentru a fi ținut secret, utilizează butonul de confidențialitate din dosarul tău în loc să decizi singur ce se partajează și ce nu.

De unde vine asta: articolul 21 alineatul 2 și Anexa A

Articolul 21 alineatul 2 al Directivei NIS2 enumeră dintre cele zece măsuri în mod explicit politici și proceduri pentru evaluarea eficacității măsurilor de securitate cibernetică — un pentest este o aplicare comună a acestora, nu singura. ISO/IEC 27001 detaliază asta în Anexa A prin măsuri de control privind gestionarea vulnerabilităților tehnice. Niciuna dintre aceste două surse nu obligă partajarea unui raport complet de test cu un client sau partener din lanț; ele cere organizației să demonstreze că testează și monitorizează. Pentru cine trebuie să stabilească dacă acest capitol este în general aplicabil, există întrebarea dacă organizația propriu-zisă se încadrează în Directiva NIS2 sau în transpunerea acesteia la nivel național.