klijent traži rezultate naše posljednje penetracijske probe, trebamo li je dati

Ne dijelite izvještaj sami, ali potvrdite rezultat

Ne, obično ne daješ pentestrapport izravno klijentu. Ono što tvoj klijent traži je dokaz da identificiraš i ispravljaš ranjivosti, a ne tehničke detalje kako je netko mogao ući. Izvještaj s točnim nalazima, IP rasponima i putanjama exploit-a predstavlja rizik za samoga klijenta: što više stranaka ima taj dokument, veća je vjerojatnost da završи na krivu mjesto. Uobičajeni pristup je sažet odgovor: kada je zadnji test proveden, tko ga je proveo (interno ili eksterno), jesu li bili kritični nalazi i jesu li ispravljeni. To se povezuje sa procesom za prepoznavanje i ispravljanje ranjivosti — to se često traži kao poseban dio, a pentestpitanje je zapravo specifičan oblik tog pitanja.

Ako klijent ipak želi više detalja, to može biti upravljačka sažetak bez tehničkih detalja iskorištavanja ili izjava testne strane. Ako nije proveden nedavni pentest, najčesnitiji odgovor je da to kažeš — ne izmišljaj test koji ne postoji. Ako sumnjаš je li nešto dovoljno osjetljivo za zadržavanje, koristi gumb povjerljivosti u datoteci umjesto da sам odlučuješ što se dijeli a što ne.

Odakle ovo dolazi: članak 21 stavak 2 i Prilog A

Članak 21 stavak 2 Direktive NIS2 eksplicitno navodi između deset mjera politiku i procedure za procjenu učinkovitosti mjera kibernetske sigurnosti — pentest je uobičajena primjena toga, a ne jedina. ISO/IEC 27001 to razrađuje u Prilogu A kroz kontrolne mjere oko upravljanja tehničkim ranjivostima. Nijedan od tih izvora ne zahtijeva dijeljenje punog testnog izvještaja s klijentom ili partnером u lancu; oni traže da poduzće pokaže da testira i prati. Za one koji trebaju utvrditi je li ovo poglavlje uopće primjenjivo, postoji pitanje je li poduzće samo pod Direktivom NIS2 ili njezinom nacionalnom provedbom.