Klient pýta na výsledky nášho posledného penetračného testu, musíme ich poskytnúť

Správu nezdieľajte, výsledok potvrďte

Nie, zvyčajne neposkytujete správu penetračného testu priamo klientovi. To, čo váš klient chce, je dôkaz, že odhaľujete a odstraňujete zraniteľnosti, nie technické detaily o tom, ako sa kedysi niekto mohol dostať dovnútra. Správa s presnými zisteniami, rozsahmi IP a cestami exploitácie je pre samotného klienta riziko: čím viac strán má tento dokument, tým väčšia je šanca, že sa dostane na nesprávne miesto. Obvyklý prístup je súhrný odgovor: kedy bol posledný test vykonaný, kto ho vykonala (interný alebo externý), či sa objavili kritické zistenia a či boli odstránené. To je v súlade s procesom na detekciu a opravu zraniteľností — na to sa často pýta ako na samostatný prvok a otázka penetračného testu je v podstate špecifickou formou toho.

Ak chce klient viac podrobností, je to možné prostredníctvom zhrnutia pre vedenie bez technických podrobností exploitácie alebo prostredníctvom vyjadrenia testovaciej strany. Ak bol vykonaný nedávno penetračný test, najčestnejšou odpoveďou je to povedať — nevymýšľajte si test, ktorý neexistuje. Ak si nie ste istí, či je niečo dosť citlivé na to, aby sa to zdržalo, namiesto toho si sami určiť, čo sa má a nemá zdieľať, použite v dossier tlačidlo dôvernosti.

Odkiaľ to pochádza: článok 21 odsek 2 a príloha A

Článok 21 odsek 2 smernice NIS2 výslovne spomína medzi desiatimi opatreniami politiku a postupy na posúdenie účinnosti opatrení v oblasti kybernetickej bezpečnosti — penetračný test je obvyklou implementáciou toho, nie jedinou. ISO/IEC 27001 to rozpracúva v prílohe A prostredníctvom opatrení kontroly týkajúcich sa správy technických zraniteľností. Žiadny z týchto zdrojov nepovinnosti rozdeľovať úplnú správu z testu s klientom alebo partnerom v reťazci; požadujú, aby podnik preukázal, že testuje a sleduje. Pre tých, ktorí musia určiť, či je táto kapitola vôbec použiteľná, existuje otázka, či podnik sám spadá pod smernicu NIS2 alebo jej národné transponovanie.