Bezpečnostní testování, které se nasazuje s vaším produktem

Nasazujete rychleji, než stihne doběhnout penetrační test

Manuální zakázka trvá 3–6 týdnů od zadání po zprávu. Než nálezy dorazí, kód už je u stovky zákazníků.

Multi-tenant IDOR je vaše největší riziko

Zákazník, který se dostane k datům jiného zákazníka, je scénář, na kterém SaaS firmy končí. Zároveň je to třída zranitelností, kterou automatické skenery přehlížejí nejčastěji, a proto AI v Penetrify testuje autorizaci systematicky napříč všemi uživatelskými rolemi.

SOC 2 vyžaduje doklady o penetračním testování

Auditoři chtějí vidět, že testujete pravidelně, ne jednorázově. Penetrify vytváří strukturované zprávy, které splňují kontroly bezpečnostního testování podle SOC 2 Type II, a důkazní stopa roste s každým skenem.

CC6.1: Logické a fyzické řízení přístupu, včetně dokladů o penetračním testování

A.12.6: Řízení technických zranitelností a bezpečnostní testování

Článek 32: Pravidelné testování technických bezpečnostních opatření

Články 28–30: zákazníci z řad finančních subjektů musí řídit ICT riziko třetích stran, což se promítne do vašich bezpečnostních dotazníků

SOC 2: co auditoři skutečně uznávají jako důkaz o testování

Zprávy SOC 2 Type II pokrývají období, typicky 6 až 12 měsíců, a přesně v tom je past na doklady o testování: jediná zpráva z jednoho data nedokládá, že vaše kontroly fungovaly po celé období. Auditoři posuzující CC6.1 (logický přístup) a CC7.1 (identifikace zranitelností) se stále častěji ptají, co se testovalo mezi ročními zakázkami a po významných změnách.

Nejsilnější odpovědí je historie skenů. Penetrify vytváří při každém běhu zprávu s časovým razítkem a seřazenou podle závažnosti, takže důkaz, který auditorovi předáte, je souvislý záznam přes celé auditní okno: co se testovalo, co se našlo, kdy se to opravilo a jaký retest to potvrdil. Týmy, které si tenhle režim osvojí, přestanou před audity hasit, protože důkazy vznikají jako vedlejší produkt vývoje.

Jedna poctivá výhrada: někteří auditoři a firemní zákazníci stále očekávají roční test podepsaný certifikovaným člověkem. Pragmatické nastavení je průběžné automatizované testování jako základ plus jedna manuální zakázka ročně; automatizovaná historie navíc tu zakázku zlevní, protože snadné nálezy jsou už opravené.

Prodáváte bankám? DORA se k vám dostane přes vaše zákazníky

Od 17. ledna 2025 se na finanční subjekty v EU vztahuje DORA (nařízení (EU) 2022/2554) a její články 28–30 je činí odpovědnými za ICT riziko jejich poskytovatelů třetích stran, čímž jste vy, pokud banka, pojišťovna nebo platební instituce běží na vašem SaaS. V praxi to přichází jako obsáhlejší bezpečnostní dotazníky, smluvní práva na audit a žádosti o doklady o bezpečnostním testování navázané na jejich povinnosti podle DORA.

Vlastní TLPT provádět nemusíte (ta povinnost patří určeným finančním subjektům podle článku 26), ale musíte doložit důvěryhodný a průběžný program testování. Průběžná historie penetračních testů odpoví na sekci dotazníku „jak testujete, jak často, ukažte nám“ mnohem lépe než rok staré PDF.

Přidejte jediný krok do své GitHub Actions nebo GitLab CI pipeline. Penetrify automaticky testuje každé nasazení a shodí build, když najde kritickou zranitelnost. Bezpečnost se stane součástí definice hotového.

Penetrify testuje autorizaci napříč více uživatelskými rolemi a hranicemi tenantů: přesně ten povrch, který manuální skenery a tradiční DAST nástroje míjejí. IDOR v multi-tenant SaaS patří k nejčastějším příčinám úniku zákaznických dat.

Každý sken v Penetrify vytvoří zprávu s časovým razítkem a řazením podle závažnosti. Až se vás auditor SOC 2 zeptá na doklady o penetračním testování, předložíte kompletní historii skenů za celé auditní období, ne jediný dokument z jedné zakázky.

Penetrify začíná na $100/month, což je méně než hodina manuálního konzultanta. Plán Professional ($1,700/month) pokrývá 20 skenů, takže je praktické testovat staging, produkci i každou významnou feature větev.