Che cosa dovrebbe dimostrare il rapporto?
Il rapporto del penetration test dovrebbe spiegare il controllo non riuscito e le conseguenze dimostrate, non limitarsi ad assegnare un livello di gravità. Cerchi record sintetici dei pazienti, relazioni assistenziali e sessioni dei fornitori, osservazioni riproducibili e responsabili coinvolti. Le lacune nella copertura e le conseguenze non verificate devono restare visibili affinché il rapporto supporti una decisione fondata.
Una sintesi per la direzione con conclusioni circoscritte
Individua dove un’interazione digitale potrebbe consentire l’accesso ai dati di un altro paziente, a un account di servizio con privilegi eccessivi o a una rete di supporto non adeguatamente segmentata.
Riassumete le funzioni testate, i rischi pertinenti, i controlli che hanno retto e le decisioni che richiedono un responsabile. Spiegate le ipotesi e il supporto fornito, invece di formulare l’affermazione più ampia possibile di compromissione.
Una registrazione tecnica verificabile
- Ambito, versioni, date, ruoli e condizioni di test autorizzate.
- Architettura e percorsi di fiducia verificati, con confini chiari.
- Timestamp UTC, richieste, risposte ed estratti delle evidenze redatti.
- Rilievi con condizioni di riproduzione, risorse interessate e limitazioni.
- Lacune di copertura, percorsi negati e azioni deliberatamente non eseguite.
Un piano di trattamento per ogni rilievo
Individuare separatamente il contenimento immediato e la correzione definitiva. Assegnare la responsabilità al titolare del sistema o del processo e annotare le dipendenze da fornitori, rilasci o approvazioni operative. Definire cosa deve essere osservato prima di chiudere un elemento.
Una registrazione della convalida
Un retest superato identifica la versione modificata, il principal sottoposto a test e il risultato effettivo. Un retest proposto è indicato come in sospeso. La ripetizione dei test di rilevamento e le esercitazioni di ripristino sono documentate separatamente dalla chiusura delle vulnerabilità, perché ciascuna attività risponde a una domanda diversa.
Esaminare il formato prima dell'acquisto
La valutazione fittizia di Healthcare AG comprende 68 pagine con diagrammi, tre scenari, dodici rilievi, evidenze tecniche e mappatura dei controlli. Illustra il formato del rapporto e non documenta attività svolte per clienti reali.
Legga otto pagine di anteprima e richieda il rapporto completo.
