Stranka prosi za rezultate naše zadnje penetracijske teste, ali moramo te posredovati

Poročila ne deli, rezultate pa potrdi

Ne, običajno poročila o testu penetracije ne daš direktno stranki. Kaj stranka prosi, je dokaz, da odkriverjaš in odpravljaš ranljivosti, ne tehnične podrobnosti o tem, kako je lahko nekdo vdrl. Poročilo z natančnimi ugotovitvami, obsegi IP-naslovov in potmi za izkorabo je za samo stranko tveganje: več strani ima to dokumentacijo, večja je verjetnost, da se znajde na napačnem mestu. Običajni pristop je povzetek: kdaj je bil test izveden, kdo ga je izvedel (interno ali eksterno), ali so bila kritična ugotovitev in ali so bila odpravljena. To je skladno s postopkom za odkrivanje in odpravljanje ranljivosti — to se pogosto vpraša kot ločen del, vprašanje o testu penetracije pa je v bistvu posebna oblika tega.

Če stranka vseeno želi več podrobnosti, je to mogoče zagotoviti z izvlečkom za vodstvo brez tehnične podrobnosti o izkoristih ali z izjavo preskuševalne stranke. Če nedavnega testa penetracije niste izvedli, je najpoštenejši odgovor, da to navedete — izmisliti si test, ki ga ni bilo. Če si negotov, ali je kaj dovolj občutljivo, da bi bilo treba zadržati, raje uporabi gumb za zaupnost v dosjeju, namesto da sam odločaš, kaj se deli in kaj ne.

Izvor: člen 21(2) in Annex A

Člen 21(2) direktive NIS2 med desetimi ukrepi izrecno omenja politiko in postopke za ocenjevanje učinkovitosti ukrepov za kibernetsko varnost — test penetracije je eden od običajnih načinov izvajanja, ne pa edini. ISO/IEC 27001 to opredeljuje v Annex A z varstvenimi ukrepi, povezanimi z upravljanjem tehnoloških ranljivosti. Nobena od obeh virov ne zahteva deljenja popolnega poročila o preskusu s stranko ali partnerjem v verigi; zahtevajo, da podjetje dokaže, da preskušanje izvaja in spremlja rezultate. Za tiste, ki morajo ugotoviti, ali se to poglavje sploh uporablja, je relevantno vprašanje, ali je podjetje samo pod direktivo NIS2 ali njeno nacionalno izvedbo.