Was sollte der Bericht belegen?
Ihr Pentest-Bericht sollte die versagte Kontrolle und die nachgewiesene Auswirkung erläutern, statt lediglich einen Schweregrad zuzuweisen. Achten Sie auf Kundenrollen, Zahlungsfreigabestatus und privilegierte Vorgänge, reproduzierbare Beobachtungen und betroffene Verantwortliche. Abdeckungslücken und nicht getestete Auswirkungen müssen sichtbar bleiben, damit der Bericht eine fundierte und vertretbare Entscheidung unterstützt.
Ein Überblick für die Geschäftsleitung mit klar abgegrenzten Schlussfolgerungen
Stellen Sie fest, welche Änderungen ein kompromittierter Kanal oder eine kompromittierte Dienstidentität tatsächlich vornehmen kann, wo unabhängige Kontrollen dies verhindern und welche Korrekturen Vorrang haben sollten.
Fassen Sie die getesteten Funktionen, relevanten Risiken, wirksamen Kontrollen und Entscheidungen, für die eine Zuständigkeit festgelegt werden muss, zusammen. Erläutern Sie Annahmen und geleistete Unterstützung, statt den weitestgehenden möglichen Kompromittierungsanspruch zu erheben.
Ein nachvollziehbarer technischer Nachweis
- Umfang, Versionen, Termine, Rollen und autorisierte Testbedingungen.
- Architektur und geprüfte Vertrauenspfade mit klaren Abgrenzungen.
- UTC-Zeitstempel, Anfragen, Antworten und redigierte Nachweisauszüge.
- Feststellungen mit Reproduktionsbedingungen, betroffenen Assets und Einschränkungen.
- Abdeckungslücken, verweigerte Pfade und bewusst nicht ausgeführte Aktionen.
Ein Maßnahmenplan für jeden Befund
Unmittelbare Eindämmungsmaßnahmen getrennt von der dauerhaften Behebung identifizieren. Weisen Sie den System- oder Prozessverantwortlichen zu und vermerken Sie Abhängigkeiten von Anbietern, Releases oder betrieblichen Genehmigungen. Legen Sie fest, was vor dem Abschluss eines Punktes beobachtet werden muss.
Ein Validierungsnachweis
Ein bestandener Retest benennt die geänderte Version, das getestete Principal und das tatsächliche Ergebnis. Ein vorgeschlagener Retest ist als ausstehend gekennzeichnet. Die erneute Auslösung von Erkennungsregeln und Wiederherstellungsübungen werden getrennt vom Beheben der Schwachstelle dokumentiert, da sie jeweils eine andere Frage beantworten.
Das Format vor der Beschaffung prüfen
Die fiktive Sicherheitsbewertung der Megabank AG umfasst 68 Seiten mit Diagrammen, drei Szenarien, zwölf Feststellungen, technischen Nachweisen und einer Zuordnung zu Kontrollen. Sie veranschaulicht das Berichtsformat und dokumentiert keine tatsächliche Kundenarbeit.
Lesen Sie acht Vorschauseiten und fordern Sie den vollständigen Bericht an.
