Vad ska en pentestrapport innehålla för att vara värd något?

Fyra uppgifter avgör om ett fynd går att åtgärda utan att någon hos er först måste göra om testarens arbete.

Reproduktionsstegen är den första och den som oftast fattas. De ska vara tillräckligt exakta att en tekniker som inte var med kan följa dem och se samma sak. Utan dem börjar varje åtgärd med en utredning av om fyndet ens är verkligt.

Bevis är den andra: en skärmbild, ett svar, ett utdrag. Den tredje är påverkan uttryckt i era termer, alltså vad någon faktiskt kommer åt, inte en siffra på en skala. Den fjärde är en åtgärdsrekommendation som pekar på orsaken. Att stänga en enskild slutpunkt är en symtomåtgärd om orsaken är att behörighetskontrollen ligger på fel lager.

En rapport utan omfattning går inte att tolka. Om det inte framgår vad som testades betyder frånvaron av fynd ingenting, eftersom det kan bero antingen på att systemet höll eller på att ingen tittade.

Undantagen är den halva som nästan alltid saknas. Vad som uttryckligen låg utanför är det som gör det möjligt att i efterhand avgöra vad rapporten inte säger, och det är den frågan som ställs när något går fel i en del som aldrig testades.

Lägg till datum och testarens namn. Rapporten är ett tidsfäst påstående om ett system som fortsätter att förändras, och en odaterad rapport kan inte användas för att visa att en bedömning gjordes vid rätt tidpunkt.

Verksamhetsutövare ska vidta lämpliga och proportionella tekniska, driftsrelaterade och organisatoriska åtgärder för att skydda nätverks- och informationssystem.

2 kap. 3 § punkt 6 avser strategier för att bedöma om åtgärderna är effektiva. En pentestrapport är det vanligaste sättet att göra den bedömningen konkret, vilket ger rapporten en andra läsare utöver era tekniker.

Den läsaren ställer andra frågor. Inte vilka fynd som hittades, utan om en bedömning gjordes, vad den omfattade, och vad som hände med resultatet. Den sista frågan besvaras inte av rapporten alls utan av vad ni gjorde efteråt, vilket är skälet att åtgärdsloggen hör ihop med rapporten och bör sparas tillsammans med den.

Ledningssammanfattningen har samma bakgrund. 2 kap. 4 § kräver att personer i ledningen genomgår utbildning om säkerhetsåtgärder, och en sammanfattning som förklarar vad fynden betyder för verksamheten är en del av hur det kravet fullgörs i praktiken.

Den första är fynd utan reproduktionssteg. Den uppstår när verifieringen prissatts bort, och den känns igen på att rapporten är lång.

Den andra är allvarsgrader som är verktygets standardvärden. De känns igen på att de är misstänkt jämnt fördelade och på att ingen av dem hänvisar till något specifikt för er miljö.

Den tredje är att angreppsvägar saknas. Rapporten listar punkter men beskriver aldrig hur de kombineras, vilket systematiskt underskattar allvaret.

Den fjärde är avsaknad av undantagslista. Alla fyra går att kravställa bort i beställningen, och ingen av dem går att åtgärda efter leverans.