min försäkringsgivare vill se en pentestrapport, vad ska jag presentera

Vad en försäkringsgivare menar med "penetrationstestrapport"

Vanligtvis frågar försäkringsgivaren inte efter den fullständiga tekniska rapporten, utan efter en sammanfattning: vilken omfattning som testades, när, av vem och vilka var resultaten på höga och medelnivåer. En executive summary med datum, testföretag och status för uppföljningen är ofta tillräcklig i praktiken. Den fullständiga rapporten med exploateringssdetaljer skickar du endast om det specifikt efterfrågas, och då är det klokt att kontrollera vad du döljer via knappen för sekretess — en försäkringsgivare är intresserad av slutsatsen, inte av de tekniska säkerhetsbristerna i sig.

Om du inte har genomfört något penetrationtest är "nej, ännu inte planerat" ett mer ärligt svar än att lämna fältet tomt eller skicka en gammmal rapport från ett annat system. Många försäkringsgivare frågar detta som en del av en bredare bild över en process för att identifiera och åtgärda sårbarheter: ett penetrationtest är där en bevishandling av många, inte hela svaret. Om penetrationstestet saknas går det ofta att visa huruvida skanningar, patchpolicy eller någon annan upptäcktsprocess körs — det väger tungt, även utan testrapporten.

Varifrån detta kommer: artikel 21 punkt 2 och bilaga A

Ett penetrationtest i sig står inte som en separat förpliktelse i artikel 21 punkt 2 i NIS2-direktivet; det nämner tio kategorier av åtgärder, inklusive hantering av säkerhetsbristerna och bedömning av effektiviteten i åtgärderna. Ett penetrationtest är ett sätt att visa denna effektivitet på, tillsammans med till exempel en intern revision — se även eller att effektiviteten i säkerhetåtgärderna granskas regelbundet. I ISO/IEC 27001 Annex A förekommer penetrationstestning inte heller som en separat kontrollpunkt; det faller under de tekniska åtgärderna för hantering av säkerhetsbristerna. Försäkringsgivare frågar ofta om det oberoende av denna lagstiftning, som egen riskindicator vid sidan av lagstiftnings- eller normativa krav — det är en försäkringspraxis, ingen lagstiftad förpliktelse från NIS2 eller cybersäkerhetslaget.