¿Qué debería demostrar el informe?
El informe de la prueba de penetración debe explicar el control que ha fallado y las consecuencias demostradas, no limitarse a asignar una gravedad. Busque registros sintéticos de pacientes, relaciones asistenciales y sesiones de proveedores, observaciones reproducibles y responsables afectados. Las lagunas de cobertura y las consecuencias no verificadas deben seguir siendo visibles para que el informe permita tomar una decisión fundamentada.
Una visión ejecutiva con conclusiones claramente delimitadas
Identifique dónde una interacción digital podría dar acceso a los registros de otro paciente, a una cuenta de servicio con privilegios excesivos o a una red de soporte mal segmentada.
Resuma las funciones probadas, los riesgos pertinentes, los controles que funcionaron y las decisiones que requieren asignar una responsabilidad. Explique las hipótesis y la asistencia prestada, en lugar de afirmar que se produjo el compromiso más amplio posible.
Un registro técnico verificable
- Alcance, versiones, fechas, funciones y condiciones de prueba autorizadas.
- Arquitectura y rutas de confianza evaluadas, con límites claros.
- Marcas de tiempo UTC, solicitudes, respuestas y extractos de evidencia con datos ocultos.
- Hallazgos con condiciones de reproducción, activos afectados y limitaciones.
- Lagunas de cobertura, rutas denegadas y acciones deliberadamente no realizadas.
Un plan de tratamiento para cada hallazgo
Identifique por separado la contención inmediata y la solución duradera. Asigne la responsabilidad al propietario del sistema o del proceso y anote las dependencias de proveedores, versiones o aprobaciones operativas. Defina qué debe observarse antes de cerrar un elemento.
Un registro de validación
Un retest satisfactorio identifica la versión modificada, la identidad probada y el resultado real. Un retest propuesto se marca como pendiente. La repetición de pruebas de detección y los ejercicios de recuperación se documentan por separado del cierre de vulnerabilidades, ya que cada actividad responde a una pregunta distinta.
Revisar el formato antes de la contratación
La evaluación ficticia de Healthcare AG consta de 68 páginas con diagramas, tres escenarios, doce hallazgos, pruebas técnicas y correspondencias con controles. Muestra el formato del informe y no recoge trabajo realizado para clientes reales.
