De opbouw van een goed rapport
Een bruikbaar pentestrapport bestaat uit een managementsamenvatting, een beschrijving van scope en aanpak en een technische uitwerking per bevinding. De samenvatting legt in begrijpelijke taal uit wat de belangrijkste risico’s zijn. De technische uitwerking beschrijft per bevinding wat er is gevonden, waar, hoe het is aangetoond en hoe u het oplost. Vermeldt het rapport ook wat niet is getest, dan weet u waar de conclusies ophouden.
Ernst en CVSS-scores
Bevindingen krijgen meestal een ernst, zoals kritiek, hoog, gemiddeld, laag of informatief. Vaak is die gebaseerd op het Common Vulnerability Scoring System. Een CVSS-score beschrijft de technische ernst, maar niet altijd het risico voor uw organisatie. Een hoge score op een intern testsysteem zonder gegevens kan minder urgent zijn dan een gemiddelde bevinding in een klantportaal. Bespreek dat verschil met de pentester.
Prioriteren en toewijzen
Zet elke bevinding om in een actie met een eigenaar en een termijn. Hanteer vaste hersteltermijnen per ernst, zodat niet per bevinding opnieuw hoeft te worden besproken hoe snel het moet.
- Kritiek en hoog: direct oppakken, met een tijdelijke maatregel als herstel langer duurt.
- Gemiddeld: plannen in de eerstvolgende release of onderhoudsronde.
- Laag en informatief: beoordelen en vastleggen of u herstelt of het risico aanvaardt.
Zoek naar de oorzaak
Een pentest toont voorbeelden, geen volledige lijst. Wordt er een injectiekwetsbaarheid gevonden in één formulier, controleer dan ook vergelijkbare formulieren. Ontbreekt een autorisatiecontrole bij één API-endpoint, bekijk dan hoe autorisatie in de hele applicatie is geregeld. Herstel van de oorzaak voorkomt dat dezelfde bevinding bij de volgende test op een andere plek terugkomt.
Hertest en vastleggen
Laat na herstel een hertest uitvoeren op de belangrijkste bevindingen. Het hertestrapport laat zien welke bevindingen zijn opgelost. Dat bewijs gebruikt u richting klanten, auditors en voor ISO 27001 of NIS2. Bewaar het rapport vertrouwelijk: het beschrijft precies waar uw zwakke plekken zaten. Deel met klanten bij voorkeur een verklaring of samenvatting in plaats van het volledige rapport.