Attestation letter
Què és una attestation letter (TPM)?
L’informe és per a tu. L’attestation letter (TPM, Third Party Memorandum) és per a la resta: una declaració de dues pàgines amb què demostres a un client, auditor, inversor o asseguradora que la teva aplicació ha estat testejada i quin va ser el resultat, sense lliurar-los les teves troballes. Sovint se’n diu certificat de pentest o carta d’atestació; és el mateix.
Per què necessites dos documents
Un informe de pentest conté exactament el que un atacant voldria saber: quines vulnerabilitats hi havia, on, i com reproduir-les. Aquest document és per als teus developers, no per a un client que t’envia un qüestionari de seguretat. Però aquell client sí que vol proves. Per a això hi ha l’attestation letter.
Què conté una attestation letter
- Qui ha testejat, amb quines certificacions i en nom de quina entitat.
- Què s’ha testejat: l’aplicació, l’entorn, els rols d’usuari, el període.
- Com s’ha testejat: manualment, segons OWASP WSTG i ASVS Level 2.
- El resultat en nombre de troballes per severitat, sense detalls.
- L’estat després del retest: què s’ha resolt, què s’ha acceptat formalment.
- Signatura i data.
Què no conté
Cap descripció de troballes, cap endpoint, cap prova de concepte, cap detall tècnic. Res del que diu l’attestation letter es pot fer servir en contra teu. Aquest és tot el disseny.
Qui la demana
- Un client amb un qüestionari de seguretat. A la pregunta «heu fet un pentest recentment?» es respon amb una attestation letter, no amb un informe.
- Un auditor d’ISO 27001, SOC 2 o ENS, com a evidència de proves tècniques dins del període auditat.
- Un inversor en due diligence.
- Una asseguradora que vol veure un test abans de contractar o renovar una pòlissa ciber.
Una declaració per cada ronda de retest
L’attestation letter descriu la situació en el moment del test. Després de cada ronda de retest reps una declaració signada del que s’ha resolt des de llavors. Així pots enviar a un client primer l’attestation letter i tres setmanes després la declaració que les troballes ja no hi són — sense dir-li mai quines eren.
No és un informe d’auditoria
La meva attestation letter és la declaració del tester sobre el test que ell mateix ha fet. No és un informe d’assegurament emès per un auditor sota una norma d’auditoria. Un auditor la fa servir com a evidència; no substitueix la seva opinió. Si el teu auditor té preguntes sobre l’attestation letter, les responc jo directament i sense cost.
Mira un exemple
Descarrega l’attestation letter d’exemple: dues pàgines, totalment fictícia, només l’estructura és real. Si també vols veure el que reben els teus developers, descarrega l’informe d’exemple.
FAQ
Preguntes freqüents
El meu auditor acceptarà una attestation letter?
A la pràctica sí, com a evidència d’un test fet dins del període auditat. Si vols certesa, envia-li l’attestation letter d’exemple abans del test. Alineo l’abast amb la descripció del teu sistema perquè l’attestation letter cobreixi el que l’auditor vol veure.
Puc compartir l’attestation letter?
Sí, per a això és. Tingues en compte que esmenta el nom de la teva aplicació i el període del test. Comparteix-la amb qui la demani; no la publiquis al teu web.
Rebo una attestation letter també si no es troba res?
Sí. Llavors diu exactament això — i aquest és precisament el document que vols ensenyar.
És el mateix que un certificat de pentest?
Sí. Certificat de pentesting, carta d’atestació, attestation letter, TPM: noms diferents per al mateix document — la declaració del tester que el test s’ha fet, sobre què, com i amb quin resultat. No és un certificat emès per un organisme ni un informe d’auditoria.
Una trucada de 30 minuts n’hi ha prou per saber si això encaixa.
Agenda una scoping callPrefereixes email? Envia el teu abast a info@hacketico.es — en 24 hores en dies laborables sabràs si cap en 5 dies i quant costa.