Ten przewodnik zawiera wszystko, co musisz wiedzieć, aby zrozumieć, zaplanować i przeprowadzić tego typu testy – wraz z praktycznymi wskazówkami, które możesz natychmiast zastosować.
Oceń wiedzę techniczną
Zapytaj o testerów, którzy rzeczywiście będą pracować nad Twoim projektem – nie tylko o zapewnienia marketingowe firmy. Jakie posiadają certyfikaty (OSCP, OSCE, CREST)? Jakie mają doświadczenie w Twoim konkretnym środowisku (SaaS, chmura, fintech, healthcare)? Czy potrafią szczegółowo opisać swoją metodologię testowania logiki biznesowej, multi-tenancy lub bezpieczeństwa API? Dostawca, który nie potrafi odpowiedzieć na te pytania, nie znajdzie istotnych luk w zabezpieczeniach.
Oceń metodologię
Wierygodny dostawca stosuje uznaną metodologię – PTES, OWASP Testing Guide, NIST SP 800-115 – i dostosowuje ją do Twojego konkretnego środowiska. Poproś o dokument opisujący ich metodologię testowania. Jeśli jest to ogólny szablon, który nie uwzględnia testowania w chmurze, API lub specyficznych dla danej aplikacji, poszukaj innego dostawcy.
Przejrzyj przykładowe raporty
Poproś o zanonimizowany przykładowy raport przed podpisaniem umowy. Oceń, czy zawiera on jasne streszczenia dla kadry kierowniczej, szczegółowe kroki reprodukcji, oceny ważności z uwzględnieniem kontekstu biznesowego (nie tylko CVSS), wskazówki dotyczące naprawy specyficzne dla stosu technologicznego oraz mapowanie zgodności. Jeśli przykładowy raport wygląda jak wynik automatycznego skanowania z okładką, prawdopodobnie to właśnie otrzymasz.
Zrozum model cenowy
Transparentne ceny za test (jak w Penetrify) oznaczają, że wiesz dokładnie, za co płacisz, zanim rozpocznie się projekt. Modele oparte na kredytach wymagają oszacowania zużycia i mogą prowadzić do marnowania budżetu. Modele oparte na stawkach dziennych mogą wzrosnąć, jeśli zakres się rozszerzy. Model cenowy powinien pasować do częstotliwości testowania – nie zmuszać do rocznych zobowiązań, gdy potrzebujesz kwartalnej elastyczności.
Upewnij się, że retesty są wliczone w cenę
Identyfikacja luk w zabezpieczeniach bez weryfikacji poprawek to połowa zadania. Upewnij się, że retesty są wliczone w cenę projektu, a nie rozliczane oddzielnie. Kompletny cykl znajdź-napraw-zweryfikuj jest tym, czego wymagają ramy zgodności i co naprawdę zmniejsza ryzyko.
Dopasuj specjalizację do swoich potrzeb
Dostawca specjalizujący się w przemysłowych systemach sterowania może nie być odpowiedni dla Twojej aplikacji SaaS. Firma zajmująca się testowaniem aplikacji internetowych może nie mieć wiedzy na temat chmury, której wymaga Twoje środowisko AWS. Wybierz dostawcę, którego podstawowa wiedza specjalistyczna jest zgodna z Twoimi głównymi potrzebami w zakresie testowania.
Podsumowanie
Odpowiednia firma zajmująca się Penetration Testing rozumie Twoje środowisko, stosuje rygorystyczną metodologię, tworzy raporty akceptowane przez audytora i wykorzystywane przez Twoich inżynierów, a także oferuje transparentne ceny. Penetrify spełnia wszystkie cztery warunki: wiedza specjalistyczna w zakresie SaaS natywnych dla chmury, hybrydowa metodologia automatyczna + manualna, raportowanie z mapowaniem zgodności i transparentne ceny za test.