¿Qué debería demostrar el informe?
Su informe de pruebas de penetración debe explicar el control que falló y la consecuencia demostrada, no limitarse a asignar una gravedad. Busque rutas de red aprobadas, flujos de trabajo clínicos sintéticos y dependencias de recuperación, observaciones reproducibles y responsables afectados. Las lagunas de cobertura y las consecuencias no probadas deben seguir siendo visibles para que el informe respalde una decisión defendible.
Una visión ejecutiva con conclusiones claramente delimitadas
Comprenda qué vías de acceso pueden llegar a los servicios de soporte clínico, cómo responden los equipos de defensa y en qué puntos la recuperación depende de sistemas ajenos a la plataforma de copias de seguridad.
Resuma las funciones probadas, los riesgos pertinentes, los controles que funcionaron y las decisiones que requieren asignar una responsabilidad. Explique las hipótesis y la asistencia prestada, en lugar de afirmar que se produjo el compromiso más amplio posible.
Un registro técnico verificable
- Alcance, versiones, fechas, funciones y condiciones de prueba autorizadas.
- Arquitectura y rutas de confianza evaluadas, con límites claros.
- Marcas de tiempo UTC, solicitudes, respuestas y extractos de evidencia con datos ocultos.
- Hallazgos con condiciones de reproducción, activos afectados y limitaciones.
- Lagunas de cobertura, rutas denegadas y acciones deliberadamente no realizadas.
Un plan de tratamiento para cada hallazgo
Identifique por separado la contención inmediata y la solución duradera. Asigne la responsabilidad al propietario del sistema o del proceso y anote las dependencias de proveedores, versiones o aprobaciones operativas. Defina qué debe observarse antes de cerrar un elemento.
Un registro de validación
Un retest satisfactorio identifica la versión modificada, la identidad probada y el resultado real. Un retest propuesto se marca como pendiente. La repetición de pruebas de detección y los ejercicios de recuperación se documentan por separado del cierre de vulnerabilidades, ya que cada actividad responde a una pregunta distinta.
Revisar el formato antes de la contratación
La evaluación ficticia de Hospital AG consta de 68 páginas con diagramas, tres escenarios, doce hallazgos, evidencias técnicas y correspondencia con controles. Muestra el formato del informe y no recoge un trabajo realizado para un cliente real.
