Čo musí obsahovať správa z pentestu

Správa je hlavný produkt pentestu. Rozhodujú podľa nej riaditeľ, vývojári aj audítor, preto musí hovoriť ku každému z nich.

Pre vedenie

• Zhrnutie na jednu stranu: čo sa testovalo, čo sa našlo, aká je celková úroveň rizika.
• Tri až päť hlavných problémov s dopadom na biznis, nie s technickými názvami.
• Čo robiť ako prvé a koľko to približne zaberie.

Pre vývojárov

• Každý nález: kde, ako reprodukovať krok za krokom, dôkaz (snímka obrazovky, požiadavka, odpoveď).
• Úroveň rizika podľa CVSS a vysvetlenie, prečo práve taká.
• Konkrétne odporúčanie na opravu, nie „dodržiavajte osvedčené postupy“.

Pre audítora

• Metodika a rozsah prác.
• Termíny, zloženie tímu, režim prístupu.
• Potvrdenie opakovaného overenia po opravách.