klient küsib meie viimase penetratsioonitesti tulemuste kohta, peame me need jagama

Ärge jagage aruannet, kinnitage tulemust

Ei, tavaliselt ei jaa sa penetratsioonitesti aruannet kliendile üks-ühele. Mida sinu klient küsib, on tõendus, et sa haavatavusi avastasid ja parandasid, mitte tehnilised üksikasjad selle kohta, kuidas keegi kunagi sisse sai. Aruanne täpsetele leidudele, IP-vahemikele ja ekspluateerimisteedele on kliendile endale riskiks: mida rohkem osapooli sellel dokumendil on, seda suurem on oht, et see valesse kohta jõuab. Tavaline lähenemine on kokkuvõttev vastus: millal viimane test teostati, kes seda tegi (sisemiselt või väliselt), kas olid kriitilised leiud ja kas need on lahendatud. See ühtib protsess haavatavuste tuvastamiseks ja parandamiseks — pärast seda küsitakse sageli eraldi osana, ja penetratsioonitesti küsimus on tegelikult selle spetsiifiline vorm.

Kui klient tahab siiski rohkem üksikasju, saab seda teha juhatuse kokkuvõtte kaudu ilma tehniliste ekspluateerimisdetailideta või testpartei avalduse kaudu. Kui hiljutist penetratsioonitesti pole teostatud, on ausaim vastus seda öelda — ära väisita testi, mida pole. Kui kahtled, kas miski on piisavalt tundlik, et seda varjata, kasuta fail loendis olev konfidentsiaalsuse nuppu, selle asemel et ise otsustada, mida jagada ja mida mitte.

Kust see pärineb: artikkel 21 lõige 2 ja Lisa A

Artikkel 21 lõige 2 NIS2-direktiivist nimetab kümnest meetmest selgesõnaliselt poliitika ja menetlused küberjulgeoleku meetmete tulemuslikkuse hindamiseks — penetratsioonitesti on sellest tavaline täitmine, mitte ainus. ISO/IEC 27001 arendab seda Lisas A välja tehnilist haavatavuste juhtimist käsitlevate kontrollmeetmete kaudu. Kumbki allikas ei kohusta täielikku testaruannet kliendile või ketiiosapoole jaoks jagama; nad nõuavad, et ettevõte näitab, et ta testib ja jälgib. Neile, kes peavad määrama, kas see peatükk üldse kohaldub, on küsimus, kas ettevõte ise kuulub NIS2-direktiivi või selle riikliku rakendamise alla.