Klients jautā par mūsu pēdējā penetrācijas testa rezultātiem, vai mums tie jāsniedz

Pārskati pašu nedelīt, rezultātu apstipriniet

Nē, parasti jūs nepārsūtāt ievainojamības pārbaudes pārskati tiešā veidā klientam. Tas, ko jūsu klients prasa, ir pierādījums, ka jūs atklājat un novēršat ievainojamības, nevis tehniskas detaļas par to, kā kāds varētu iekļūt. Pārskats ar precīziem atklājumiem, IP diapazoniem un izmantošanas ceļiem klientam pašam ir risks: jo vairāk pušu šim dokumentam ir, jo lielāka ir iespēja, ka tas tiks nepareizi izplatīts. Parasts pieņemtais paņēmiens ir apkopojošs atbildes paziņojums: kad tika veikta pēdējā pārbaude, kurš to veica (iekšēji vai ārēji), vai bija kritiski atklājumi un vai tie ir novērsti. Tas atbilst procesu, lai identificētu un novērstu ievainojamības — par to bieži vaicā kā atsevišķu daļu, un ievainojamības pārbaudes jautājums tā būtībā ir tā specifiska forma.

Ja klients tomēr vēlas vairāk detaļu, tas var tikt sniegts vadības kopsavilkuma veidā bez tehniskām izmantošanas detaļām vai testēšanas puses deklarācijas veidā. Ja nav veikta nesen ievainojamības pārbaude, godīgākā atbilde ir to teikt — neuzmantot pārbaudi, kas nav noticis. Ja šaubies, vai kaut kas ir pietiekami sensitīvs, lai to noslēptu, izmanto konfidencialitātes pogu dossejā tā vietā, lai pats izlemtu, kas tiek dalīts un kas nē.

No kurienes tas nāk: 21. pants, 2. punkts un Pielikums A

NIS2 direktīvas 21. panta 2. punkts starp desmit pasākumiem skaidri norāda uz politiku un procedūrām, lai novērtētu kiberdrošības pasākumu efektivitāti — ievainojamības pārbaude ir viens no parastajiem tās īstenošanas veidiem, nevis vienīgais. ISO/IEC 27001 to detalizē Pielikumā A, izmantojot kontroles pasākumus ap tehniskā ievainojamības pārvaldīšanu. Ne viens, ne otrs avots nepakrāv pilna testa pārskata koplietošanu ar klientu vai piegādes ķēdes partneri; viņi pieprasa, lai uzņēmums parāda, ka tas testē un seko līdzi. Tiem, kuriem ir jānosaka, vai šī nodaļa vispār ir piemērojama, ir jautājums par to, vai uzņēmums pats ir pakļauts NIS2 direktīvai vai tās nacionālai pārtransformācijai.