El resumen juega un rol crítico en la ayuda al lector para entender rápidamente la evaluación sin necesidad de profundizar en los detalles técnicos. Conecta tu trabajo a seguridad e impacto del mundo real. El resumen típicamente aparece al inicio del reporte y debería permitir al lector, incluso a alguien sin bagaje técnico responder a las siguientes preguntas:
- ¿Qué testeamos?
- ¿Qué encontramos?
- ¿Qué significa para nuestro negocio o sistema?
- ¿Qué deberíamos hacer ahora?
Idealmente, deberías escribir el resumen lo último. Si no has escrito otras secciones, será difícil resumir los hallazgos de forma precisa.
Resumen del Resumen
En algunos casos, una sola sección del resumen no es suficiente para cumplir las necesidades de tanto los stakeholders de seguridad como de negocio. Cuando esto ocurre, es común romper el resumen en dos partes.:
- Resumen Ejecutivo: Escrito para los stakeholders de negocio, esta versión evita jerga técnica y se enfoca en el riesgo de negocio. Subraya la postura de seguridad en general y preocupaciones clave de una forma que ayuda a los stakeholders de negocio a entender el impacto de los hallazgos y las acciones que deberían tomarse inmediatamente.
- Hallazgos y Recomendaciones: Escrito para el equipo de seguridad, esta sección detalla motivos vulnerables comunes y cadenas de ataque. Las vulnerabilidades tienen puntuaciones de riesgo que se miden en aislamiento como si ninguna otra existiera. Sin embargo, puedes encontrar la combinación de dos o más vulnerabilidades de nivel de riesgo bajo-medio que podrían tener impacto de negocio. Esta es la sección donde necesitas resaltárselo a los stakeholders de seguridad ayudándolos a priorizar la remediación para gestionar estos problemas. Esta sección une los problemas e identifica problemas sistémicos, permitiendo a los stakeholders de seguridad usar esta información para ayudar a los desarrolladores a evitar errores futuros.
Estructura del Resumen
Independientemente de si partes el resumen en dos o no, un buen resumen debería cubrir lo siguiente:
- Vista General: ¿Qué fue testeado?¿Qué tipo de sistema o aplicación es?¿Cuáles fueron los objetivos de la evaluación?¿Cuál era el scope y cuánto cubrimiento podría ser conseguido?
- Resultados: ¿Qué descubrió la evaluación?¿Era inseguro el sistema? Si no, ¿qué categorías de problemas fueron encontradas?
- Impacto: ¿Cuál es el impacto del mundo real si los problemas permanecen sin atención?¿Cómo podría ser el sistema explotado por un actor malicioso real?
- Dirección de Remediación: A alto nivel, ¿qué acciones debería tomar siguiente la organización?¿Requiere más inversión o son los problemas arreglos rápidos?
El resumen establece el tono para el reporte completo. Si es demasiado técnico, los stakeholders del negocio no tendrán interés. Si es demasiado vago, el equipo de seguridad no sabrá qué hacer. Sabiendo cómo u cuándo partir el resumen, te aseguras de que tu mensaje alcance la audiencia correcta.