¿Qué debería demostrar el informe?
Su informe de pruebas de penetración debe explicar el control que falló y la consecuencia demostrada, no limitarse a asignar una gravedad. Busque roles de cliente, estados de aprobación de pagos y operaciones privilegiadas, observaciones reproducibles y responsables afectados. Las lagunas de cobertura y las consecuencias no probadas deben seguir siendo visibles para que el informe respalde una decisión defendible.
Una visión ejecutiva con conclusiones claramente delimitadas
Determine qué cambios puede realizar realmente un canal o una identidad de servicio comprometidos, dónde los controles independientes lo impiden y qué correcciones deben priorizarse.
Resuma las funciones probadas, los riesgos pertinentes, los controles que funcionaron y las decisiones que requieren asignar una responsabilidad. Explique las hipótesis y la asistencia prestada, en lugar de afirmar que se produjo el compromiso más amplio posible.
Un registro técnico verificable
- Alcance, versiones, fechas, funciones y condiciones de prueba autorizadas.
- Arquitectura y rutas de confianza evaluadas, con límites claros.
- Marcas de tiempo UTC, solicitudes, respuestas y extractos de evidencia con datos ocultos.
- Hallazgos con condiciones de reproducción, activos afectados y limitaciones.
- Lagunas de cobertura, rutas denegadas y acciones deliberadamente no realizadas.
Un plan de tratamiento para cada hallazgo
Identifique por separado la contención inmediata y la solución duradera. Asigne la responsabilidad al propietario del sistema o del proceso y anote las dependencias de proveedores, versiones o aprobaciones operativas. Defina qué debe observarse antes de cerrar un elemento.
Un registro de validación
Un retest satisfactorio identifica la versión modificada, la identidad probada y el resultado real. Un retest propuesto se marca como pendiente. La repetición de pruebas de detección y los ejercicios de recuperación se documentan por separado del cierre de vulnerabilidades, ya que cada actividad responde a una pregunta distinta.
Revisar el formato antes de la contratación
La evaluación ficticia de Megabank AG consta de 68 páginas con diagramas, tres escenarios, doce hallazgos, evidencias técnicas y correspondencia con controles. Muestra el formato del informe y no recoge un trabajo realizado para un cliente real.
