Che cosa dovrebbe dimostrare il rapporto?
Il rapporto di penetration test dovrebbe spiegare il controllo non riuscito e la conseguenza dimostrata, senza limitarsi ad assegnare un livello di gravità. Verifichi la presenza di ruoli cliente, stati di approvazione dei pagamenti e operazioni privilegiate, osservazioni riproducibili e responsabili coinvolti. Le lacune di copertura e le conseguenze non verificate devono restare visibili affinché il rapporto supporti una decisione difendibile.
Una sintesi per la direzione con conclusioni circoscritte
Stabilisca quali modifiche possa effettivamente apportare un canale o un’identità di servizio compromessi, dove intervengono i controlli indipendenti e quali correzioni debbano avere priorità.
Riassumete le funzioni testate, i rischi pertinenti, i controlli che hanno retto e le decisioni che richiedono un responsabile. Spiegate le ipotesi e il supporto fornito, invece di formulare l’affermazione più ampia possibile di compromissione.
Una registrazione tecnica verificabile
- Ambito, versioni, date, ruoli e condizioni di test autorizzate.
- Architettura e percorsi di fiducia verificati, con confini chiari.
- Timestamp UTC, richieste, risposte ed estratti delle evidenze redatti.
- Rilievi con condizioni di riproduzione, risorse interessate e limitazioni.
- Lacune di copertura, percorsi negati e azioni deliberatamente non eseguite.
Un piano di trattamento per ogni rilievo
Individuare separatamente il contenimento immediato e la correzione definitiva. Assegnare la responsabilità al titolare del sistema o del processo e annotare le dipendenze da fornitori, rilasci o approvazioni operative. Definire cosa deve essere osservato prima di chiudere un elemento.
Una registrazione della convalida
Un retest superato identifica la versione modificata, il principal sottoposto a test e il risultato effettivo. Un retest proposto è indicato come in sospeso. La ripetizione dei test di rilevamento e le esercitazioni di ripristino sono documentate separatamente dalla chiusura delle vulnerabilità, perché ciascuna attività risponde a una domanda diversa.
Esaminare il formato prima dell'acquisto
La valutazione fittizia di Megabank AG comprende 68 pagine con diagrammi, tre scenari, dodici rilievi, evidenze tecniche e mappatura dei controlli. Illustra il formato del rapporto e non documenta un’attività svolta per un cliente reale.
Legga otto pagine di anteprima e richieda il rapporto completo.
