Que devrait démontrer le rapport ?
Votre rapport de test d’intrusion doit expliquer la défaillance du contrôle et la conséquence démontrée, et ne pas se limiter à attribuer un niveau de gravité. Vérifiez la présence de parcours réseau approuvés, de flux de travail cliniques synthétiques et de dépendances de reprise, d’observations reproductibles et des responsables concernés. Les lacunes de couverture et les conséquences non testées doivent rester visibles afin que le rapport étaye une décision défendable.
Une vue d’ensemble destinée à la direction, avec des conclusions délimitées
Comprenez quelles voies d’accès peuvent atteindre les services d’assistance clinique, comment réagissent les équipes de défense et où la reprise dépend de systèmes extérieurs à la plateforme de sauvegarde.
Résumez les fonctions testées, les risques pertinents, les contrôles qui ont résisté et les décisions nécessitant l’attribution d’une responsabilité. Expliquez les hypothèses et l’assistance apportée au lieu d’avancer l’affirmation de compromission la plus large possible.
Un enregistrement technique vérifiable
- Périmètre, versions, dates, rôles et conditions de test autorisées.
- Architecture et chemins de confiance examinés, avec des limites clairement définies.
- Horodatages UTC, requêtes, réponses et extraits de preuves expurgés.
- Constats avec conditions de reproduction, actifs concernés et limites.
- Lacunes de couverture, chemins refusés et actions délibérément non réalisées.
Un plan de traitement pour chaque constat
Distinguez le confinement immédiat de la correction durable. Désignez le responsable du système ou du processus et indiquez les dépendances vis-à-vis des fournisseurs, des mises en production ou des approbations opérationnelles. Définissez ce qui doit être observé avant de clôturer un élément.
Un relevé de validation
Un nouveau test réussi précise la version modifiée, le principal testé et le résultat réel. Un nouveau test proposé est indiqué comme étant en attente. La répétition des tests de détection et les exercices de restauration sont consignés séparément de la clôture des vulnérabilités, car chacun répond à une question différente.
Examiner le format avant l’achat
L’évaluation fictive de Hospital AG comprend 68 pages avec des diagrammes, trois scénarios, douze constats, des éléments de preuve techniques et une correspondance avec les contrôles. Elle illustre le format du rapport et ne rend pas compte d’une mission réalisée pour un client réel.
