Elegir y declarar la metodología

La propia SP 800-115 aclara en una nota que NIST no respalda una metodología por encima de otra, y que cada organización puede adoptar una existente o combinar varias. Una combinación típica para un encargo como el de la molinería: PTES para la estructura del encargo, SP 800-115 para clasificar cada actividad como prueba, examen o entrevista, la WSTG y la guía móvil de OWASP para las aplicaciones, OSSTMM para los canales que no son de red (personas, accesos físicos, espectro) y ATT&CK para etiquetar las acciones en el informe.

Declararla bien exige cuatro datos por marco: cuál, en qué versión (o con qué fecha de consulta, si el marco no publica versiones), para qué parte del alcance y en qué se aparta de él. La cuarta es la que más se olvida y la que más protege: si el cliente prohibió algo que el marco prevé, el informe lo dice.

Cada elemento del alcance tiene que poder rastrearse hasta el marco con el que se prueba. Si no, el informe no podrá decir cómo se evaluó.

Una línea del borrador asigna a un marco una función que no cumple. Lo que se vio en las salas anteriores basta para encontrarla.

Un marco citado sin versión ni fecha de consulta no se puede reconstruir: dentro de un año nadie sabrá qué decía cuando se usó.