mi asegurador quiere ver un informe de prueba de penetración, ¿qué debo proporcionar

Qué entiende un asegurador por "informe de prueba de penetración"

Por lo general, el asegurador no solicita el informe técnico completo, sino un resumen: qué alcance se probó, cuándo, quién lo hizo y cuáles fueron los hallazgos de nivel alto e intermedio. Un resumen ejecutivo con fecha, laboratorio de pruebas y el estado del seguimiento suele ser suficiente en la práctica. El informe completo con detalles de exploit se envía solo si se solicita específicamente, y en ese caso es recomendable revisar qué se oculta mediante el botón de confidencialidad — un asegurador tiene interés en la conclusión, no en las vulnerabilidades técnicas en sí.

Si no has realizado una prueba de penetración, entonces "no, aún no está prevista" es una respuesta más honesta que dejar el campo en blanco o enviar un informe antiguo de otro sistema. Muchos aseguradoras lo solicitan como parte de una visión más amplia sobre un proceso para identificar y remediar vulnerabilidades: una prueba de penetración es una prueba de ello, no la respuesta completa. Si falta la prueba de penetración, a menudo se puede demostrar si se ejecutan escaneos, una política de parches o algún otro proceso de detección — eso también cuenta, incluso sin un informe de prueba.

Procedencia: artículo 21, apartado 2 y Anexo A

Una prueba de penetración en sí no aparece como obligación separada en el artículo 21, apartado 2, de la Directiva NIS2; este enumera diez categorías de medidas, incluida la gestión de vulnerabilidades y la evaluación de la eficacia de las medidas. Una prueba de penetración es una forma de demostrar esa eficacia, además de, por ejemplo, una auditoría interna — véase también o si la eficacia de las medidas de seguridad se evalúa periódicamente. En ISO/IEC 27001 Anexo A, las pruebas de penetración tampoco aparecen como punto de control separado; se incluyen en las medidas de control de vulnerabilidades técnicas. Los aseguradores a menudo pregunta al respecto independientemente de esta regulación, como indicador de riesgo propio además de los requisitos legales o normativos — esta es una práctica de seguros, no una obligación legal de NIS2 o de la Ley de Ciberseguridad.