Táto príručka poskytuje všetko, čo potrebujete na pochopenie, definovanie rozsahu a vykonanie tohto typu testovania – s praktickými pokynmi, ktoré môžete okamžite použiť.
Zhodnoťte technickú odbornosť
Informujte sa o testeroch, ktorí budú reálne pracovať na vašej zákazke – nielen o marketingových tvrdeniach spoločnosti. Aké certifikáty vlastnia (OSCP, OSCE, CREST)? Aké majú skúsenosti s vaším špecifickým typom prostredia (SaaS, cloud, fintech, zdravotníctvo)? Vedia podrobne opísať svoju metodológiu testovania obchodnej logiky, multi-tenancy alebo API security? Poskytovateľ, ktorý nedokáže odpovedať na tieto otázky, nenájde zraniteľnosti, na ktorých záleží.
Posúďte metodológiu
Dôveryhodný poskytovateľ sa riadi uznávanou metodológiou – PTES, OWASP Testing Guide, NIST SP 800-115 – a prispôsobuje ju vášmu špecifickému prostrediu. Vyžiadajte si dokument s ich testovacou metodológiou. Ak ide o generickú šablónu, ktorá neberie do úvahy cloudové, API alebo aplikačne špecifické testovanie, hľadajte inde.
Prezrite si vzorové reporty
Pred podpisom zmluvy si vyžiadajte upravený vzorový report. Zhodnoťte, či obsahuje jasné súhrny pre manažment, podrobné kroky na reprodukciu, hodnotenia závažnosti s obchodným kontextom (nielen CVSS), usmernenia pre nápravu špecifické pre technologické balíky a mapovanie súladu. Ak vzorový report vyzerá ako výstup automatizovaného skenovania s titulnou stranou, pravdepodobne to je to, čo dostanete.
Pochopte cenový model
Transparentné ceny za test (ako na Penetrify) znamenajú, že presne viete, za čo platíte predtým, ako sa zákazka začne. Modely založené na kreditoch vyžadujú odhad spotreby a môžu viesť k plytvaniu rozpočtom. Modely s dennými sadzbami sa môžu postupne zvyšovať, ak sa rozsah rozšíri. Cenový model by mal zodpovedať vašej frekvencii testovania – nemal by vás nútiť do ročných záväzkov, keď potrebujete štvrťročnú flexibilitu.
Uistite sa, že opakované testovanie je zahrnuté
Identifikácia zraniteľností bez overenia opráv je len polovica práce. Uistite sa, že opakované testovanie je zahrnuté v cene zákazky a nie je fakturované samostatne. Kompletný cyklus nájdi-oprav-over je to, čo vyžadujú rámce súladu a čo skutočne znižuje riziko.
Prispôsobte špecializáciu vašim potrebám
Poskytovateľ špecializujúci sa na priemyselné riadiace systémy nemusí byť vhodný pre vašu SaaS aplikáciu. Webová aplikačná testovacia spoločnosť nemusí mať cloudovú odbornosť, ktorú vyžaduje vaše AWS prostredie. Vyberte si poskytovateľa, ktorého hlavná odbornosť zodpovedá vašim primárnym potrebám testovania.
Záver
Správna spoločnosť pre Penetration Testing rozumie vášmu prostrediu, riadi sa prísnou metodológiou, vytvára reporty, ktoré váš audítor akceptuje a vaši inžinieri na ich základe konajú, a ponúka transparentné ceny. Penetrify spĺňa všetky štyri: cloudovo-natívna SaaS odbornosť, hybridná automatizovaná + manuálna metodológia, reporting mapovaný na súlad a transparentné ceny za test.