klientas klausia apie mūsų paskutinio penetracinio testo rezultatus, ar turime juos pateikti

Ataskaitos pačios nesidalinti, rezultatą patvirtinti

Ne, paprastai tu pentesto ataskaitos neatsiduodi klientui vienas prieš vieną. Tai, ko jūsų klientas nori, yra įrodymas, kad jūs nustatote ir pašalinate pažeidžiamumą, o ne techninę informaciją apie tai, kaip kas nors gali įsibristi. Ataskaita su tiksliais pastebėjimais, IP diapazonais ir naudojimo būdais yra pačiam klientui rizika: kuo daugiau šalių turės šį dokumentą, tuo didesnė tikimybė, kad jis pateks į klaidingą vietą. Įprastas požiūris yra apibendrintas atsakymas: kada buvo atliektas paskutinis bandymas, kur jį atlikti (viduje ar išorėje), ar buvo kritinių pastebėjimų ir ar jie buvo pašalinti. Tai atitinka pažeidžiamumų nustatymo ir šalinimo procesą — dažnai prašoma kaip atskira dalis, o pentesto klausimas iš esmės yra tam tikra jo forma.

Jei klientas reikalauja daugiau informacijos, tai gali būti vadybinis santrauka be techninių išnaudojimo detalių arba testavimo šalies pažyma. Jei nesenai atliekamas penetracinis bandymas nebuvo atliktas, sąžiningiausias atsakymas yra tai pasakyti — negeneruokite testo, kurio nebuvo. Jei abejojate, ar kažkas yra pakankamai jautrus, kad būtų paslėpta, naudokite konfidencialumo mygtuką byloje, o ne patys sprendžiate, kas bus bendrinama.

Kur tai gaunasi: 21 straipsnio 2 dalis ir A priedas

NIS2 direktyvos 21 straipsnio 2 dalis iš dešimties priemonių išskirtinai nurodo politiką ir procedūras, skirtas kibernetinio saugumo priemonių veiksmingumui įvertinti — penetracinis bandymas yra įprastas tokios priemonės įgyvendinimas, bet ne vienintelis. ISO/IEC 27001 tai išplėtoja A priede per kontrolės priemones, susijusias su techninio pažeidžiamumo valdymu. Nei vienas iš šių šaltinių neprivalo bendrintis visos testų ataskaitos su klientu ar tiekimo grandinės partneriu; jie reikalauja, kad įmonė parodytų, kad jie testuoja ir sekina. Tiems, kurie turi nustatyti, ar šis skyrius iš viso taikytinas, ar pati įmonė patenka į NIS2 direktyvą arba jos nacionalinį diegimą.