ο πελάτης ρωτά τα αποτελέσματα του τελευταίου penetration test μας, πρέπει να τα παραδώσουμε

Μη μοιράζεστε την αναφορά, αλλά επιβεβαιώστε το αποτέλεσμα

Όχι, συνήθως δεν δίνετε την αναφορά penetration test ένα προς ένα στον πελάτη. Αυτό που ζητάει ο πελάτης σας είναι απόδειξη ότι εντοπίζετε και αποκαθιστάτε τις ευπάθειες, όχι τις τεχνικές λεπτομέρειες για το πώς μπορούσε κάποιος να εισβάλει. Μια αναφορά με ακριβή ευρήματα, εύρη IP και διαδρομές exploit αποτελεί κίνδυνο για τον ίδιο τον πελάτη: όσο περισσότερα μέρη διαθέτουν το έγγραφο, τόσο μεγαλύτερος ο κίνδυνος να καταλήξει στα λάθος χέρια. Η συνήθης προσέγγιση είναι μια συνοπτική απάντηση: πότε πραγματοποιήθηκε το τελευταίο test, από ποιον (εσωτερικά ή εξωτερικά), υπήρχαν κριτικές ευρήματα, και εάν έχουν επιλυθεί. Αυτό ευθυγραμμίζεται με τη διαδικασία εντοπισμού και αποκατάστασης των ευπαθειών — αυτό ζητείται συχνά ως ξεχωριστό μέρος, και η ερώτηση pentest είναι ουσιαστικά ένα ειδικό παράδειγμα αυτού.

Εάν ο πελάτης επιθυμεί περισσότερες λεπτομέρειες, αυτό μπορεί να γίνει μέσω μιας σύνοψης διοίκησης χωρίς τεχνικές λεπτομέρειες exploit, ή μέσω μιας δήλωσης του φορέα δοκιμών. Εάν δεν έχει πραγματοποιηθεί πρόσφατη δοκιμή penetration, η ειλικρινέστερη απάντηση είναι να το πείτε — μην επινοήσετε μια δοκιμή που δεν υπάρχει. Εάν αμφιβάλλετε για το αν κάτι είναι αρκετά ευαίσθητο για να κρατηθεί, χρησιμοποιήστε το κουμπί εμπιστευτικότητας στο αρχείο αντί να αποφασίζετε μόνοι σας τι μοιράζεται και τι όχι.

Όπου προέρχεται αυτό: άρθρο 21 παράγραφος 2 και Παράρτημα A

Το άρθρο 21 παράγραφος 2 της Οδηγίας NIS2 αναφέρει ρητά μεταξύ των δέκα μέτρων την πολιτική και τις διαδικασίες για την αξιολόγηση της αποτελεσματικότητας των μέτρων κυβερνοασφάλειας — ένα penetration test είναι μια συνήθης εφαρμογή αυτού, όχι η μόνη. Το ISO/IEC 27001 το αναλύει στο Παράρτημα A μέσω των μέτρων ελέγχου σχετικά με τη διαχείριση τεχνικών ευπαθειών. Καμία από τις δύο πηγές δεν υποχρεώνει την κοινοποίηση πλήρους αναφοράς δοκιμής με πελάτη ή συνεργάτη της αλυσίδας. Ζητούν από την επιχείρηση να αποδείξει ότι δοκιμάζει και ακολουθεί. Για όποιον πρέπει να διαπιστώσει εάν αυτό το κεφάλαιο είναι καν εφαρμόσιμο, υπάρχει το ερώτημα του εάν η επιχείρηση αυτή υπόκειται στην Οδηγία NIS2 ή στη διαθέσιμη εθνική υλοποίηση αυτής.