Exemple
Així és l’informe de pentest que reben els teus developers.
Vint pàgines, totalment fictici: client, sistemes, troballes i tots els noms, adreces i dades de contacte són inventats. Només l’estructura és real — i aquesta és exactament la que reps. En anglès, com tots els meus informes.
Què conté
- Resum executiu per a direcció: què s’ha testejat, què s’ha trobat, com de greu és, en quin estat està.
- Abast i mètode: aplicació, entorn, rols, període; OWASP WSTG i ASVS Level 2.
- Troballes, cadascuna amb severitat i puntuació CVSS, descripció, prova de concepte per reproduir-la, impacte i recomanació.
- Retest: què s’ha resolt, què s’ha acceptat formalment, amb declaració signada per ronda.
Què exigir a qualsevol informe de pentesting
Si estàs comparant proveïdors, fes servir aquest exemple com a llista de control. Un informe útil té, com a mínim:
- Un abast explícit — quina aplicació, quin entorn, quins rols, quin període — que coincideixi amb el que el teu auditor o el teu client volen veure cobert.
- Una metodologia amb nom (OWASP WSTG, ASVS), no només la llista d’eines usades.
- Per cada troballa, una prova de concepte reproduïble i una puntuació CVSS; sense això, els teus developers han de redescobrir el problema.
- Un resum executiu separat, escrit per a qui decideix, no per a qui arregla.
- Una declaració de retest: què s’ha resolt i què s’ha acceptat formalment, amb data i signatura.
La sortida sense filtrar d’un escàner no compleix cap dels cinc.
Per a qui
L’informe està escrit per al teu equip: reproduir, arreglar, llest. Els teus clients, inversors i auditor no reben aquest document — reben l’attestation letter (TPM).
Descarregar l’informe d’exemple (PDF, 0,4 MB)
També disponible: l’attestation letter d’exemple, dues pàgines.
FAQ
Preguntes freqüents
L’informe està en català o castellà?
No: en anglès, com tots els meus informes i trucades. És el que accepten auditors, inversors i clients internacionals. Si el teu auditor exigeix l’evidència en castellà o català, digues-m’ho a la scoping call i veiem si encaixa.
Puc enviar l’informe al meu client o al meu auditor?
Pots, però normalment no cal i no convé: conté exactament el que un atacant voldria saber. Per a clients, auditors, inversors i asseguradores hi ha l’attestation letter (TPM), que demostra el test sense lliurar les troballes.
Una trucada de 30 minuts n’hi ha prou per saber si això encaixa.
Agenda una scoping callPrefereixes email? Envia el teu abast a info@hacketico.es — en 24 hores en dies laborables sabràs si cap en 5 dies i quant costa.