klient pyta o wyniki naszego ostatniego testu penetracyjnego, czy musimy je podać

Nie udostępniaj samego raportu, potwierdź wynik

Nie, zazwyczaj nie przekazujesz raportu z testu penetracyjnego bezpośrednio klientowi. To, o co prosi Cię klient, to dowód na to, że identyfikujesz i usuwasz podatności, a nie szczegóły techniczne, jak ktoś mógł się kiedyś dostać do systemu. Raport zawierający dokładne ustalenia, zakresy IP i ścieżki exploitacji stanowi samo w sobie ryzyko dla klienta: im więcej stron ma dostęp do tego dokumentu, tym większa szansa, że trafi w złe ręce. Standardowym podejściem jest odpowiedź podsumowująca: kiedy przeprowadzono ostatni test, kto go przeprowadził (wewnętrznie czy zewnętrznie), czy były jakieś krytyczne ustalenia i czy zostały rozwiązane. To jest zgodne z procesem identyfikacji i usuwania podatności — na to często zadawane jest pytanie jako osobna kwestia, a pytanie dotyczące testu penetracyjnego jest w rzeczywistości jego szczególną formą.

Jeśli klient mimo to chce więcej szczegółów, może to być streszczenie dla kierownictwa bez technicznych szczegółów exploitacji lub oświadczenie od strony przeprowadzającej test. Jeśli ostatnio nie przeprowadzono testu penetracyjnego, uczciwa odpowiedź to powiedzenie tego — nie wymyślaj testu, który się nie odbył. Jeśli masz wątpliwości, czy coś jest wystarczająco poufne, aby je zatajać, użyj przycisku poufności w swoim dossier zamiast samodzielnie decydować, co będzie udostępniane.

Skąd to pochodzi: artykuł 21 ust. 2 i Załącznik A

Artykuł 21 ust. 2 dyrektywy NIS2 wyraźnie wymienia politykę i procedury oceny skuteczności środków cyberbezpieczeństwa wśród dziesięciu środków — test penetracyjny jest częstym sposobem ich wdrożenia, ale nie jedynym. ISO/IEC 27001 rozwija to w Załączniku A poprzez środki kontroli dotyczące zarządzania podatnościami technicznymi. Żaden z tych źródeł nie wymaga udostępniania pełnego raportu z testu klientowi lub partnerowi łańcucha; wymagają one, aby przedsiębiorstwo wykazało, że testuje i monitoruje. Dla osób, które muszą ustalić, czy ten rozdział w ogóle ma zastosowanie, istnieje pytanie, czy przedsiębiorstwo podlega dyrektywnie NIS2 lub jej krajowej implementacji.