cliente pede os resultados do nosso último teste de penetração, devemos fornecê-los

Não partilhe o relatório em si, mas confirme o resultado

Não, normalmente não fornece o relatório de pentest um a um ao cliente. O que o seu cliente quer é prova de que deteta e corrige vulnerabilidades, não os detalhes técnicos de como alguém conseguiu entrar. Um relatório com descobertas exatas, intervalos de IP e caminhos de exploração é em si um risco para o cliente: quanto mais partes tiverem esse documento, maior é a probabilidade de ir parar aos sítios errados. A abordagem comum é uma resposta sumária: quando foi realizado o último teste, por quem (interno ou externo), se havia descobertas críticas e se foram resolvidas. Isto está alinhado com o processo de deteção e correção de vulnerabilidades — isto é frequentemente perguntado como um elemento separado, e a questão do pentest é, de facto, uma forma específica disso.

Se o cliente ainda assim quiser mais detalhes, isso pode ser feito através de um resumo executivo sem detalhes técnicos de exploração, ou através de uma declaração da parte que realizou o teste. Se nenhum pentest recente foi realizado, a resposta mais honesta é dizê-lo — não inventar um teste que não existe. Se tem dúvidas sobre se algo é suficientemente sensível para reter, utilize então o botão de confidencialidade no dossier em vez de decidir por si próprio o que é ou não partilhado.

Origem desta informação: artigo 21.º, n.º 2 e Anexo A

O artigo 21.º, n.º 2 da Diretiva NIS2 menciona explicitamente, entre as dez medidas, políticas e procedimentos para avaliar a eficácia das medidas de cibersegurança — um pentest é uma forma comum de implementação, não a única. A ISO/IEC 27001 desenvolve isto no Anexo A através das medidas de controlo relativas à gestão técnica de vulnerabilidades. Nenhuma destas fontes obriga a partilhar um relatório de teste completo com um cliente ou parceiro da cadeia; exigem que a empresa demonstre que testa e faz o seguimento. Para quem tem de determinar se este capítulo é aplicável, existe a questão de saber se a empresa se enquadra na Diretiva NIS2 ou na sua transposição nacional.