Hvordan man opretter sikkerhedstestrapporter - dummies

Du skal muligvis organisere din sikkerhedstest sårbarhedsinformation i et formelt dokument til ledelse eller til din klient. Dette er ikke altid tilfældet, men det er ofte den professionelle ting at gøre og viser at du tager dit arbejde seriøst. Frigør de kritiske fund og dokumenter dem, så andre kan forstå dem.

Grafer og diagrammer er et plus. Skærmbilleder af dine resultater - især når det er svært at gemme dataene i en fil - føje et godt strejf til dine rapporter og vise konkrete tegn på, at problemet eksisterer.

Dokumentér sårbarhederne på en kortfattet, ikke-teknologisk måde. Hver rapport skal indeholde følgende oplysninger:

• Dato (er) testen blev udført

• Test udført

• Oversigt over de opdagede sårbarheder

• Prioriteret liste over sårbarheder, der skal behandles

• Anbefalinger og specifikke trin til, hvordan du tilslutter de sikkerhedshuller, der findes

Det tilføjer altid værdi, hvis du kan udføre en operationel vurdering af it / sikkerhedsprocesser. Tilføj en liste over generelle observationer omkring svage forretningsprocesser, ledelsens support af it og sikkerhed, og så videre sammen med anbefalinger til adressering af hvert problem. Du kan se på dette som en slags årsagsanalyse.

De fleste vil have, at den endelige rapport indeholder et resume af resultaterne - ikke alt. Det sidste, de fleste ønsker at gøre, er at sejle gennem en 600-siders PDF-fil, der indeholder teknisk jargon, hvilket betyder meget lidt for dem. Mange konsulentfirmaer har været kendt for at oplade megabucks for denne meget type rapport. Og de kommer væk med det. Men det gør det ikke rigtigt.

Administratorer og udviklere har brug for de rå dataposter fra sikkerhedsværktøjerne. På den måde kan de henvise dataene senere, når de skal se specifikke HTTP-anmodninger / svar, detaljer om manglende patches og så videre.

Som en del af slutrapporten vil du måske dokumentere adfærd, du overholder, når du udfører dine sikkerhedstests. For eksempel er medarbejderne helt uvidende eller endda krigsførende, når du udfører et indlysende socialteknisk angreb? Er IT- eller sikkerhedspersonalet fuldstændig savnet af tekniske tip-offs, som f.eks. Ydelsen af ​​netværket, der nedbrydes under testen eller forskellige angreb, der vises i systemlogfiler?

Du kan også dokumentere andre sikkerhedsproblemer, du observerer, f.eks. Hvor hurtigt IT-personale eller administrerede serviceudbydere reagerer på dine tests, eller om de reagerer overhovedet. Efter grundårsagsanalysen skal eventuelle manglende, ufuldstændige eller ikke fulgte procedurer dokumenteres.

Bevar den endelige rapport for at holde den sikker fra personer, der ikke er autoriserede til at se den. En sikkerhedsvurderingsrapport og tilhørende data og understøttende filer i hænderne på en konkurrent, hacker eller ondsindet insider kunne stave problemer for organisationen. Her er nogle måder at forhindre dette på:

• Lever kun rapporten og tilhørende dokumentation og filer til dem, der har en virksomhed, skal vide.

• Hvis du sender den endelige rapport elektronisk, krypterer du alle vedhæftede filer, f.eks. Dokumentation og testresultater ved hjælp af et krypteret zip-format eller en sikker cloud-fildelingstjeneste.