il mio assicuratore vuole vedere un rapporto di pentest, cosa devo fornire

Cosa intende l'assicuratore con "rapporto di pentest"

Di solito l'assicuratore non chiede il rapporto tecnico completo, ma un riepilogo: quale ambito è stato testato, quando, da chi, e quali erano i risultati a livello alto e medio. Un executive summary con data, società di test e lo stato del follow-up è spesso sufficiente nella pratica. Il rapporto completo con i dettagli degli exploit lo invii solo se richiesto specificamente, e in quel caso è consigliabile verificare cosa schermi tramite il pulsante di riservatezza — un assicuratore è interessato alla conclusione, non alle vulnerabilità tecniche in sé.

Se non hai effettuato un pentest, allora "no, non ancora pianificato" è una risposta più onesta che lasciare il campo vuoto o inviare un rapporto vecchio di un altro sistema. Molti assicuratori lo chiedono come parte di un quadro più ampio su un processo per identificare e correggere le vulnerabilità: un pentest è una sola prova, non la risposta completa. Se manca il pentest, spesso è comunque possibile dimostrare se sono in corso scansioni, politiche di patch o un altro processo di rilevamento — anche questo conta, anche senza rapporto di test.

Fonte: articolo 21 paragrafo 2 e Allegato A

Un pentest stesso non figura come obbligo separato nell'articolo 21, paragrafo 2, della direttiva NIS2; che elenca dieci categorie di misure, tra cui la gestione delle vulnerabilità e la valutazione dell'efficacia delle misure. Un pentest è un modo per dimostrare tale efficacia, oltre ad esempio un audit interno — vedi anche o se l'efficacia delle misure di sicurezza è valutata periodicamente. In ISO/IEC 27001 Allegato A i test di penetrazione non figurano come punto di controllo separato; rientrano nelle misure di controllo per le vulnerabilità tecniche. Gli assicuratori spesso lo chiedono comunque al di là di questa normativa, come indicatore di rischio proprio accanto ai requisiti legali o normativi — questa è una pratica assicurativa, non un obbligo legale derivante da NIS2 o dalla Legge sulla cibersicurezza.