Audiencia, préstenme sus oídos
Todo buen reporte está construido alrededor de un formato limpio y lógico. Esta estructura ayuda a presentar hallazgos de una forma que tenga sentido tanto para la parte técnica como la de negocio. Antes de profundizar en la anatomía de un buen reporte, necesitamos primero entender las diferentes audiencias a las que tu reporte debe dirigirse.
- Stakeholders Técnicos: Al final, tu reporte busca ayudar al equipo técnico a entender la causa de las vulnerabilidades descubiertas y qué pasos seguir para remediarlas. Si realizas un pentest web, estos serán los desarrolladores de la app. Si evalúas una red, tu reporte tendrá que dar guías al equipo de IT Support. Como es la parte más crucial de la audiencia, verás que entorno al 70-90% del reporte va dirigido a ellos.
- Stakeholders de Seguridad: Normalmente, no son los desarrolladores o el equipo de IT los que piden el pentest. Seguramente, la función de seguridad de la empresa estuvo involucrada en la ejecución del pentest. Este equipo no es directamente responsable de la remediación de las vulnerabilidades pero estará trabajando de cerca con aquellos que sí lo son. Como tal, las secciones del reporte tendrán que ofrecer guías de cómo ayudar a priorizar los esfuerzos por remediar las vulnerabilidades. Aunque esta audiencia probablemente lea el reporte completo, al menos el 20-30% debe ir dirigido a ellos.
- Stakeholders de Negocio: Una frase que puede explicar el método de pensamiento es "La seguridad debe habilitar el negocio, no pelear contra él.". Normalmente alguien está pagando por la evaluación de seguridad. Además, estos individuos son mucho menos técnicos y más de la parte de negocio. Una parte clave de tu reporte necesita hablar a esta audiencia para ayudarles a entender el impacto de negocio de tus hallazgos. ¿Cuál podría ser el impacto real si eligen no remediar las vulnerabilidades? Al menos el 5-10% debe ir dirigido explícitamente a esta audiencia de una manera que se abstraiga del trabajo técnico.
Secciones del Reporte
Ahora que entendemos a la audiencia a la que le hablamos a través de nuestro reporte, vamos a mirar a estas tres secciones principales que requerimos:
| Sección | Audiencia Objetivo | Descripción |
|---|---|---|
| Resumen | Stakeholders de Negocio y Seguridad | Esta es la visión general de la evaluación. Explica qué se examinó, qué se descubrió y por qué es importante, todo ello en términos empresariales. En ciertos casos, se elaboraría un resumen ejecutivo dirigido exclusivamente a las partes interesadas del negocio —utilizando únicamente terminología empresarial— y, posteriormente, una sección más detallada de hallazgos y recomendaciones para ayudar a los responsables de seguridad en sus tareas de priorización. |
| Write-Ups de Vulnerabilidades | Stakeholders Técnicos | Esta es la parte técnica central del informe. Cada problema detectado durante la prueba cuenta con su propia descripción detallada, la cual incluye información sobre la vulnerabilidad, cómo reproducirla y las acciones necesarias para su remediación. |
| Apéndices | Stakeholders de Seguridad | Los anexos proporcionan detalles complementarios que no tienen cabida en el informe principal. Esto puede incluir elementos como el alcance detallado de las pruebas, la metodología o los artefactos resultantes de dichas pruebas. Por lo general, los responsables de seguridad utilizan estos anexos para comprender mejor el alcance de la cobertura lograda durante la intervención y los pasos a seguir una vez que se haya llevado a cabo la remediación. |
Por Qué Importa
Un reporte bien estructurado hace que sea más fácil para la audiencia tomar acción. Los líderes del negocio pueden evaluar el riesgo y los equipos técnicos comenzar la remediación. Si tu reporte escasea estructura, incluso buenos hallazgos pueden ser ignorados.