Los apéndices son especialmente útiles para los stakeholders de seguridad y testeadores futuros que pueden necesitar validar lo que se hizo, verificar el alcance o realizar el seguimiento después de la remediación. No hay normalmente un formato fijado para los apéndices y el formato puede variar de proyecto a proyecto. Sin embargo, hay dos apéndices principales que deberías intentar incluir siempre en tu reporte.
Alcance de la Evaluación
El apéndice de evaluación debería ser usado para establecer cómo de cerrada era la evaluación originalmente en el documento RoE. Puede ser que haya habido cambios durante el proyecto o que fuera imposible ganar cobertura del alcance total por varias razones. El apéndice de alcance de evaluación es el lugar perfecto para ofrecer esta información que puede ayudar a los stakeholders de seguridad a entender los próximos pasos. Por ejemplo, si sólo fuiste capaz de ganar cobertura del 80% del scope, una reevaluación del 20% restante puede requerirse, dependiendo de cuántas vulnerabilidades fueron descubiertas.
Artefactos de la Evaluación
El apéndice de artefactos de la evaluación ofrece la oportunidad de listar cualquier cambio que hayas realizado al testear. Siempre deberías realizar una limpieza, pero normalmente es imposible limpiar todos los artefactos creados durante el ejercicio. Esta información es crucial ya que algunos de estos artefactos son potencialmente peligrosos.