La teva auditoria comença d’aquí a tres mesos. Així hi encaixa el pentest.

Què demana ISO 27001

ISO 27001 (versió 2022) és concreta. El control 8.8 tracta la gestió de vulnerabilitats tècniques; el 8.29, les proves de seguretat en desenvolupament i acceptació. L’entitat certificadora vol veure que ho fas de manera sistemàtica i que actues sobre els resultats. Un test manual anual amb retest és l’evidència habitual.

Què demana SOC 2

Els Trust Services Criteria no esmenten la paraula pentest. Demanen detectar i gestionar vulnerabilitats i comprovar que els teus controls funcionen. A la pràctica gairebé tots els auditors ho tradueixen en un pentest extern dins del període auditat, evidència de seguiment de les troballes i una declaració del tester. En un informe Type II aquesta evidència ha de ser del mateix període; un test de l’any passat no compta.

L’abast segueix la descripció del teu sistema

El teu auditor mira el sistema que has delimitat a la teva descripció del sistema. Si el pentest testeja una altra cosa, tens un informe però no una evidència. Per això alineo l’abast abans del test amb aquella descripció — mateixa aplicació, mateix entorn, mateixos rols — i així consta literalment a l’attestation letter (TPM).

Calendari

1. Planifica el test al principi de la teva finestra d’auditoria. No l’últim mes; necessites temps per corregir.
2. Cinc dies de test, informe en tres dies laborables. Des de l’inici tens una attestation letter en quinze dies laborables.
3. Corregeix i després retest. Inclòs durant 90 dies; cada ronda produeix una declaració signada.
4. Lliura al teu auditor l’attestation letter i les declaracions. Les seves preguntes les responc jo.

Fas deploy continu?

Llavors un test l’any és una foto d’una pel·lícula. Amb Release Guard testejo cada release sobre el que ha canviat, amb el test anual com a referència. Si el teu auditor accepta la verificació contínua com a complement, acorda-ho amb ell abans; jo aporto un resum dels delta-tests juntament amb l’attestation letter.

I si el qüestionari ve d’un client sota NIS2?

Cada cop més sovint el pentest no el demana el teu auditor sinó un client gran que està sota NIS2 i ha de vigilar els seus proveïdors. La resposta és la mateixa evidència: un test recent, l’attestation letter i la declaració de retest. NIS2 no exigeix pentests trimestrals; amb una avaluació anual basada en risc n’hi ha prou. Sobre l’estat de la transposició a Espanya i l’ENS, llegeix Pentest per a l’ENS. El mapatge complet, criteri per criteri i control per control, és a la guia de 2026.

Què rep l’auditor

• L’attestation letter: abast, mètode, període, resultat.
• La declaració de retest per cada ronda.
• Sota petició: la metodologia en detall i resposta a les seves preguntes.

L’informe tècnic es queda amb tu. Un auditor no necessita les troballes per comprovar que les has resolt; per a això hi ha la declaració.