Blog / Testy penetracyjne
Raport z testów penetracyjnych dla kontrahenta i ubezpieczyciela
Kontrahent, operator płatności albo ubezpieczyciel zwykle nie chce całego pentestu. Chce dokumentu, który pokazuje datę testu, jego zakres, znalezione uwagi z priorytetem i status napraw. Raport, który ma te pięć elementów, przechodzi weryfikację w większości zapytań ofertowych i ankiet bezpieczeństwa.
Krótka odpowiedź, zanim wyślesz cokolwiek
Dobry raport dla kontrahenta odpowiada na cztery pytania: co przetestowano, kiedy, co znaleziono i co z tym zrobiono. Jeśli brakuje którejś odpowiedzi, odbiorca poprosi o uzupełnienie i zyskasz tydzień opóźnienia w podpisaniu umowy.
Zanim cokolwiek wyślesz, sprawdź w ankiecie lub umowie, jak odbiorca definiuje test. Jedni akceptują test automatyczny z zewnątrz, inni wymagają testu ręcznego wykonanego przez niezależną firmę. Format ustala odbiorca, nie wykonawca.
Pięć elementów, które powinien mieć raport
- Data i okres testu. Raport sprzed dwóch lat nie dowodzi niczego o dzisiejszym stanie systemu.
- Zakres. Lista domen, subdomen i usług, których test dotyczył. Ogólnik „infrastruktura firmy” jest najczęstszym powodem odrzucenia.
- Lista uwag z priorytetem. Każda uwaga z opisem, wpływem i zaleceniem, uporządkowana od krytycznych do informacyjnych.
- Status napraw. Które uwagi zamknięto i kiedy. Odbiorca sprawdza, czy firma reaguje na wyniki, a nie tylko je zbiera.
- Odniesienie do wymagań. Dla firm w łańcuchu dostaw podmiotów objętych NIS2 przydaje się powiązanie z art. 21, który mówi o ocenie skuteczności środków bezpieczeństwa.
Raport jednorazowy a raport cykliczny
Jednorazowy pentest daje jeden dokument ważny w dniu wykonania. Po następnej aktualizacji aplikacji, wymianie certyfikatu lub dodaniu subdomeny kampanii raport opisuje już inny system. Ubezpieczyciele i duzi klienci B2B wiedzą o tym i coraz częściej pytają, jak często testujecie, a nie tylko, czy testowaliście.
Raport cykliczny odpowiada na to pytanie wprost. Ciąg cotygodniowych wyników z datami pokazuje, że konfiguracja jest pilnowana przez cały rok, a nowa luka pojawiająca się po zmianie wychodzi w ciągu kilku dni. Taki ciąg nie zastępuje ręcznego testu logiki biznesowej, ale uzupełnia go w miejscu, w którym ręczny test jest najsłabszy, czyli w czasie między jednym a drugim.
Jeśli nie wiesz, jak zbudować budżet na oba rodzaje testów, zacznij od artykułu ile kosztują testy penetracyjne.
Co kontrahenci najczęściej odrzucają
- raport bez daty albo z datą starszą niż rok
- zrzut ekranu z narzędzia zamiast dokumentu z opisem uwag
- raport bez podanego zakresu, więc nie wiadomo, czy dotyczy właściwej domeny
- lista uwag bez priorytetów, w której krytyczna luka ginie wśród informacyjnych
- raport z uwagami, ale bez żadnej informacji o naprawach
- raport w całości w obcym języku, gdy odbiorca prosił o polski
Większość tych problemów ma jedną przyczynę: raport powstał jako dokument techniczny dla programistów, a nie dla osoby, która ma go przekazać dalej.
Jak przygotować raport dla ubezpieczyciela
Ubezpieczyciele cyberpolis pytają w ankiecie o kilka rzeczy: czy firma testuje bezpieczeństwo, jak często, kto to robi i czy luki są naprawiane w ustalonym czasie. Odpowiedź „tak, co tydzień, z raportem i statusem napraw” jest mocniejsza niż „raz zrobiliśmy pentest w zeszłym roku”.
Przygotuj ostatni raport, ciąg wyników z ostatnich miesięcy i krótką informację o czasie napraw uwag krytycznych. Nie obiecuj w ankiecie niczego, czego nie możesz udokumentować, bo ubezpieczyciel może poprosić o dowody przy zgłoszeniu szkody.
Jak Hakowanie buduje raport pod kontrahenta
Każdy tygodniowy test kończy się raportem z datą, zakresem domen, listą uwag z priorytetem i odniesieniem do wymagań NIS2. Historia wyników zostaje w koncie, więc kontrahentowi możesz wysłać zarówno ostatni raport, jak i ciąg z kilku miesięcy. W planach Firma i wyższych jest też raport zarządu, a w planie Grupa raport z własnym logo, przydatny dla software house i agencji.
Sklep internetowy, który dostał prośbę od operatora płatności, znajdzie szczegóły na stronie pentestu sklepu internetowego. Ceny planów są w cenniku, od 590 zł netto miesięcznie.
Jak czytać własny raport przed wysłaniem
Zanim przekażesz raport dalej, przeczytaj go oczami odbiorcy, który nie zna Twoich systemów. Czy z samego dokumentu wynika, jakiej domeny dotyczy test? Czy uwaga o średnim priorytecie ma opis zrozumiały dla osoby spoza IT? Czy przy każdej otwartej uwadze jest termin naprawy albo uzasadnienie, dlaczego ryzyko akceptujesz?
Otwarte uwagi nie dyskwalifikują raportu. Dyskwalifikuje go brak reakcji. Raport z trzema uwagami średnimi i datą zamknięcia przy każdej wypada lepiej niż czysty raport sprzed półtora roku. Kontrahent ocenia dojrzałość procesu, a nie to, czy w ciągu jednego tygodnia nikt nie znalazł niczego do poprawy.
Dobrze jest też uzgodnić z odbiorcą sposób przekazania. Raport zawiera listę wystawionych usług i wersji oprogramowania, więc nie wysyłaj go publicznie ani w otwartym wątku. Wysyłka do wskazanej osoby po stronie kontrahenta, najlepiej przez zabezpieczony kanał, jest standardem w ankietach bezpieczeństwa.
Czego raport z testu automatycznego nie pokaże
Test zewnętrzny nie sprawdzi logiki biznesowej: czy użytkownik zobaczy cudze dane, obejdzie płatność albo podniesie sobie uprawnienia. Jeśli kontrahent wymaga takiego testu, potrzebujesz oddzielnego, ręcznego pentestu z kontem testowym, zwykle raz w roku. Uczciwie napisz to w odpowiedzi na ankietę i dołącz oba dokumenty.
Firmy, które budują własne narzędzia wewnętrzne, na przykład przez zamówienie aplikacji dla firmy bez własnego programisty, powinny pamiętać, że nowa aplikacja wystawiona do internetu też trafia do zakresu testów i do raportu.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.