Le rapport de test de l’équipe rouge doit contenir des informations sur au moins tous les points suivants:
a) des informations sur l’attaque menée, y compris:
i) les fonctions critiques ou importantes ciblées et les systèmes, processus et technologies de TIC identifiés qui soutiennent les fonctions critiques ou importantes en question, tels qu’identifiés dans le plan de test de l’équipe rouge;
ii) le résumé de chaque scénario;
iii) les drapeaux atteints et non atteints;
iv) les chemins d’attaque suivis avec succès et sans succès;
v) les tactiques, techniques et procédures utilisées avec succès et sans succès;
vi) les écarts par rapport au plan de test de l’équipe rouge, le cas échéant;
vii) les coups de pouce fournis, le cas échéant;
b) toutes les actions dont les testeurs ont connaissance et qui ont été réalisées par l’équipe bleue pour reconstruire l’attaque et en atténuer les effets;
c) les vulnérabilités découvertes et autres constatations, y compris:
i) une description de la vulnérabilité et des autres constatations, dont leur criticité;
ii) une analyse des causes originelles de la réussite des attaques menées à bien;
iii) des recommandations en matière de mesures correctives, avec indication de leur degré de priorité.