kund frågar efter resultaten från vår senaste pentest, måste vi ge det

Dela inte rapporten själv, bekräfta resultatet

Nej, normalt delar du inte penetrationstestningsrapporten direkt med kunden. Det din kund frågar efter är bevis på att du upptäcker och åtgärdar sårbarheter, inte tekniska detaljer om hur någon någon gång kunde komma in. En rapport med exakta fynd, IP-intervall och exploateringssökvägar är själv en risk för kunden: ju fler parter som har dokumentet, desto större är risken att det hamnar på fel ställe. Den vanliga metoden är ett sammanfattande svar: när det senaste testet genomfördes, av vem (internt eller externt), om det fanns kritiska fynd, och om dessa åtgärdades. Det motsvarar processen för att upptäcka och åtgärda sårbarheter — det efterfrågas ofta som en separat del, och penetrationstestfrågan är i själva verket en specifik form av den.

Om kunden vill ha mer information kan det tillhandahållas via en ledningssammanfattning utan tekniska exploateringsdetaljer, eller via ett utlåtande från testorganisationen. Om inget aktuellt penetrationstestning har genomförts, är det mest ärligt att säga så — inte att hitta på ett test som inte finns. Om du tvivlar på om något är känsligt nog att behålla för dig själv, använd då konfidentialitetsknappen i dossären istället för att själv bestämma vad som ska delas och vad som inte ska det.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Artikel 21 punkt 2 i NIS2-direktivet nämner bland de tio åtgärderna uttryckligen policyer och procedurer för att bedöma effektiviteten av cybersäkerhetåtgärderna — ett penetrationstestning är en vanlig tillämpning av detta, inte den enda. ISO/IEC 27001 utvecklar detta i bilaga A via kontrollmåtten kring teknisk sårbarhetshantering. Ingen av dessa källor kräver delning av en fullständig testrapport med en kund eller kedjepartner; de kräver att företaget visar att det testar och följer upp. För den som måste avgöra om detta kapitel är tillämpligt överhuvudtaget finns det frågan om företaget själv omfattas av NIS2-direktivet eller dess nationella genomförande.