Cómo crear informes de pruebas de seguridad
Video: ¿Cómo hacer un informe?
Es posible que necesite para organizar su información de vulnerabilidad pruebas de seguridad en un documento formal para la administración o para su cliente. Esto no es siempre el caso, pero a menudo lo profesional para hacer y muestra que se toma su trabajo en serio. Descubrir a los hallazgos críticos y documentar de manera que otras partes puedan entenderlos.
Gráficos y tablas son un plus. Las capturas de pantalla de sus hallazgos - especialmente cuando es difícil de guardar los datos en un archivo - un toque especial a sus informes y muestran evidencia tangible de que el problema existe.
Documentar las vulnerabilidades de una manera concisa, no técnico. Cada informe deberá contener la siguiente información:
Fecha (s) se llevó a cabo la prueba
Las pruebas que se realizaron
Resumen de las vulnerabilidades descubiertas
lista priorizada de las vulnerabilidades que deben abordarse
Recomendaciones y medidas específicas sobre cómo tapar los agujeros de seguridad encontrados
Video: Video: Elaboración de Reportes escritos para guardias de seguridad
Es siempre un valor añadido si se puede realizar una evaluación operativa de TI / procesos de seguridad. Añadir una lista de observaciones generales en torno a los procesos de negocio débiles, soporte de gestión de TI y seguridad, y así sucesivamente junto con recomendaciones para abordar cada tema. Se puede ver esto como una especie de análisis de causa raíz.
La mayoría de las personas quieren que el informe final que incluya una resumen de los resultados - no todo. La última cosa que la mayoría de la gente quiere hacer es tamizar a través de un archivo PDF de 600 páginas que contiene la jerga técnica que significa muy poco para ellos. Muchas empresas de consultoría han sido conocidos para cargar Megabucks para este mismo tipo de informe. Y que salgan con la suya. Pero eso no significa que sea correcto.
Los administradores y los desarrolladores necesitan los informes de datos en bruto de las herramientas de seguridad. De esta manera, se puede hacer referencia a los datos más adelante cuando tienen que ver específicos solicitudes HTTP / respuestas, detalles sobre la falta de parches, y así sucesivamente.
Como parte del informe final, es posible que desee documentar comportamientos que observa al llevar a cabo sus pruebas de seguridad. Por ejemplo, los empleados son completamente ajenos o incluso beligerante cuando lleva a cabo un ataque obvia la ingeniería social? ¿El personal de seguridad de TI o completamente señorita soplos técnicas, tales como el rendimiento de la red degradantes durante las pruebas o varios ataques que aparecen en los archivos de registro del sistema?
También puede documentar otros problemas de seguridad que observa, como la rapidez del personal de TI o proveedores de servicios gestionados responden a las pruebas o si responden en absoluto. Siguiendo el enfoque de análisis de causa raíz, cualquier procedimiento que faltan, incompletos o no seguidos de estar documentados.
Video: 07 Crear y modificar informe en seguridad e higiene
Custodiar el informe final para mantenerlo a salvo de personas que no están autorizadas para verlo. Un informe de evaluación de la seguridad y los datos asociados y archivos de soporte en las manos de un competidor, pirata informático, o información privilegiada maliciosos podrían significar un problema para la organización. Aquí hay algunas maneras de evitar que esto suceda:
Entregar el informe y la documentación y los archivos asociados sólo a aquellos que tienen una necesidad comercial de conocer.
Si el envío del informe final electrónicamente, cifrar todos los archivos adjuntos, tales como la documentación y los resultados de las pruebas utilizando un formato zip encriptado, o una nube servicio para compartir archivos de forma segura.
Video: Como hacer un Informe