il cliente chiede i risultati della nostra ultima pentest, dobbiamo fornirli

Non condividere il rapporto stesso, ma conferma il risultato

No, di solito non condividi il rapporto di penetration test uno a uno con il cliente. Quello che il tuo cliente chiede è la prova che individui e risolvi le vulnerabilità, non i dettagli tecnici di come qualcuno è potuto entrare. Un rapporto con i risultati esatti, gli intervalli di IP e i percorsi di exploit è di per sé un rischio per il cliente: più parti hanno quel documento, maggiore è la probabilità che finisca nelle mani sbagliate. L'approccio comune è una risposta riepilogativa: quando è stato condotto l'ultimo test, da chi (interno o esterno), se c'erano risultati critici e se sono stati risolti. Questo è in linea con il processo di identificazione e correzione delle vulnerabilità — spesso viene richiesto come elemento separato, e la domanda sul penetration test ne è in realtà una forma specifica.

Se il cliente vuole comunque più dettagli, è possibile fornire un management summary senza dettagli tecnici di exploit, oppure una dichiarazione della parte che ha condotto il test. Se non è stato condotto un penetration test recente, la risposta più onesta è dirlo — non inventare un test che non esiste. Se hai dubbi sul fatto che qualcosa sia abbastanza sensibile da trattenere, utilizza il pulsante di riservatezza nel dossier invece di decidere autonomamente cosa condividere e cosa no.

Fonte: articolo 21 paragrafo 2 e Allegato A

L'articolo 21 paragrafo 2 della direttiva NIS2 menciona esplicitamente tra le dieci misure politiche e procedure per valutare l'efficacia delle misure di cybersicurezza — un penetration test è una forma comune di implementazione, non l'unica. ISO/IEC 27001 lo elabora nell'Allegato A attraverso le misure di controllo relative alla gestione delle vulnerabilità tecniche. Nessuna di queste fonti obbliga a condividere un rapporto di test completo con un cliente o un partner della catena; richiedono che l'organizzazione dimostri di testare e fare seguito. Per chi deve stabilire se questo capitolo è applicabile, c'è la domanda se l'organizzazione stessa ricade sotto la direttiva NIS2 o sotto la sua trasposizione nazionale.