Der Bericht wird zum Nachweis, nicht zur Datei im Ordner
Der Pentestbericht ist die Unterlage, die im ISO-27001- und im PCI-DSS-Audit am häufigsten verlangt wird. Ein Ordner hält den Bericht. Das Modul hält, wonach der Prüfer tatsächlich fragt: den Geltungsbereich aus dem eigenen Bestand, IT-Systeme, Netze, ASM-Domains und Anwendungen, die Klassifikation nach dem BSI-Durchführungskonzept mit den daraus abgeleiteten Pflicht-Prüfungshandlungen, den Turnus mit der nächsten Fälligkeit und die Ausnahmeliste mit Begründung. Befunde tragen CVSS-Vektor, betroffenes System, Behandlungsentscheidung und eine Behebungsfrist, die beim Anlegen eingefroren wird. Der Nachweis gilt für PCI DSS 11.4, DORA Art. 24 bis 26, ISO 27001 A.8.8 und A.8.29 und § 39 BSIG.
Das BSI-Durchführungskonzept kennt 45 Module. Sechs Klassifikationskriterien schließen Module aus; jedes Modul, das sie nicht ausschließen, ist Pflicht. Wer eines trotzdem weglässt, tut das mit dokumentiertem Grund, und es erscheint durchgestrichen statt zu verschwinden.
Unauffällig, oder nie geprüft. Nur die dokumentierte Ausnahme trennt beides. Wird ein Ziel im Geltungsbereich abgewählt, wandert es in die Ausnahmeliste und braucht eine Begründung. Genau danach fragt der Auditor.
Die Behebungsfrist eines Befunds wird beim Anlegen aus der Schwere gerechnet und danach nicht mehr verschoben, wenn jemand die Vorgaben ändert. Fristerinnerung, Maßnahme und Aufgabe entstehen aus dem Befund; der Nachtest übernimmt die offenen Befunde und wirkt auf den Ursprung zurück.
Ein Pentest, der im Audit als Nachweis trägt: mit Geltungsbereich, Ausnahmen, Pflicht-Modulen und Fristen, nicht nur mit einem PDF.
Vereinbaren Sie eine unverbindliche Demo – wir zeigen Ihnen das Modul an Ihren eigenen Anwendungsfällen.
