zákazník se ptá na výsledky našeho posledního testu penetrace, musíme je poskytnout

Zprávu samotnou nesdílet, výsledek potvrdit

Ne, obvykle nepředáváte zprávu o penetračním testu přímo zákazníkovi. Vaš zákazník si vyžádá důkaz, že odhalujete a odstraňujete slabá místa, nikoli technické podrobnosti o tom, jak se někdo někdy dostane dovnitř. Zpráva s přesnými zjištěními, rozsahy IP adres a cestami zneužití je pro samotného zákazníka rizikem: čím více stran má tento dokument, tím větší je riziko, že se dostane na špatné místo. Běžným přístupem je souhrnná odpověď: kdy byl poslední test proveden, kdo ho provedl (interně nebo externě), zda byla zjištěna kritická zjištění a zda byla vyřešena. To je v souladu s procesem pro odhalování a odstraňování slabých míst — na toto se často ptají jako na samostatnou položku a otázka na penetrační test je v podstatě její specifickou formou.

Pokud zákazník přesto chce více podrobností, lze to poskytnout prostřednictvím shrnutí pro vedení bez technických podrobností o zneužití nebo prohlášení testovací strany. Pokud nebyl proveden nedávný penetrační test, nejčestnější odpověď je to říci — nevymýšlejte si test, který neexistuje. Pokud si nejste jisti, zda je něco dost citlivé na to, aby se to zatajilo, použijte místo toho tlačítko důvěrnosti v dossier namísto toho, abyste sami rozhodli, co se sdílí a co ne.

Odkud to pochází: článek 21 odst. 2 a příloha A

Článek 21 odst. 2 směrnice NIS2 uvádí mezi deseti opatřeními výslovně politiku a postupy pro posouzení účinnosti opatření kybernetické bezpečnosti — penetrační test je běžným způsobem jejich implementace, nikoli jediným. ISO/IEC 27001 to rozpracovává v příloze A prostřednictvím kontrolních opatření týkajících se správy technických slabých míst. Žádný ze zdrojů neukládá povinnost sdílet úplnou testovací zprávu se zákazníkem nebo partnerem v řetězci; požadují, aby podnik prokázal, že testuje a sleduje výsledky. Pro ty, kteří musí určit, zda se tato kapitola vůbec vztahuje, je zde otázka, zda podnik sám spadá pod směrnici NIS2 nebo její национальní implementaci.