6. Faza izvještavanja

Faza izvještavanja je zadnja faza penetracijskog ispitivanja. Ovu fazu moguće je izvoditi paralelno s ostalim fazama penetracijskog ispitivanja ili se izvodi na kraju. Mnogi penetracijski ispitivači ne koncentriraju se dovoljno na ovu fazu, tj. zanemaruju je na neki način, te na kraju predaju izvještaj koji nema zadovoljavajuću kvalitetu. Može se reći da je ova faza najbitnija od svih ostalih faza. Na kraju krajeva organizacija koja je naručila penetracijsko ispitivanje svog sustava platila je ovaj završni dokument.

Dokument mora sadržavati detaljne informacije o svim provedenim fazama penetracijskog ispitivanja. Isto tako potrebno je provesti prezentaciju pronađenih slabosti u sustavu, te njihov utjecaj na sustav organizacije. Na temelju tih informacija providi se i procjena troškova implementacije danih preporuka. Dokument mora biti precizan i jasan. Jasna i precizna dokumentacija pokazatelj je uspješnog penetracijskog ispitivača.

Općenito izvještaj se može podijeliti na dva dijela:

• izvještaj za IT menadžment i
• tehnički izvještaj. [7]

Izvještaj za IT menadžment mora biti kratak i jasan, bez tehničkih detalja. Mora sadržavati ukratko opisano provedeno penetracijsko ispitivanje, popis pronađenih kritičnih sigurnosnih propusta sortiranih po njihovoj kritičnosti, te preporuke za uklanjanje tih kritičnih propusta.

U tehničkom izvješću je detaljan prikaz provedenog penetracijskog ispitivanja, sa svim tehničkim detaljima. Mora sadržavati sve provedene akcije tijekom izvođenja penetracijskog ispitivanja. Isto tako mora sadržavati popis svih pronađenih sigurnosnih propusta, te preporuke za njihovo uklanjanje.

Stvari koje bi svaki izvještaj morao sadržavati su:

• kratak pregled penetracijskog ispitivanja,
• detaljnu listu svih prikupljenih informacija tijekom penetracijskog ispitivanja,
• detaljnu listu svih pronađenih sigurnosnih propusta,
• opis svih pronađenih sigurnosnih propusta,
• procjenu utjecaja pronađenih propusta na organizaciju,
• preporuke za uklanjanje pronađenih propusta i smanjenje rizika i
• zaključak. [7]