Bezpečnostné testovanie, ktoré sa nasadzuje spolu s vaším produktom

Nasadzujete rýchlejšie, než stihne dobehnúť penetračný test

Manuálna zákazka trvá 3 až 6 týždňov od zadania po správu. Kým nálezy dorazia, kód už je u stovky zákazníkov.

Multi-tenant IDOR je vaše najväčšie riziko

Zákazník, ktorý sa dostane k dátam iného zákazníka, je scenár úniku, na ktorom SaaS firmy končia. Zároveň je to trieda zraniteľností, ktorú automatické skenery prehliadajú najčastejšie, a preto AI v Penetrify testuje autorizáciu systematicky naprieč všetkými používateľskými rolami.

SOC 2 vyžaduje doklady o penetračnom testovaní

Audítori chcú vidieť, že testujete pravidelne, nie jednorazovo. Penetrify vytvára štruktúrované správy, ktoré spĺňajú kontroly bezpečnostného testovania podľa SOC 2 Type II, a dôkazná stopa rastie s každým skenom.

CC6.1: logické a fyzické riadenie prístupu vrátane dokladov o penetračnom testovaní

A.12.6: riadenie technických zraniteľností a bezpečnostné testovanie

Článok 32: pravidelné testovanie technických bezpečnostných opatrení

Články 28 – 30: vaši zákazníci z radov finančných subjektov musia riadiť ICT riziko tretích strán, čo sa premietne do vašich bezpečnostných dotazníkov

SOC 2: čo audítori skutočne uznávajú ako dôkaz o testovaní

Správy SOC 2 Type II pokrývajú obdobie, typicky 6 až 12 mesiacov, a práve v tom je pasca na doklady o testovaní: jediná správa z jedného dátumu nedokladá, že vaše kontroly fungovali počas celého obdobia. Audítori posudzujúci CC6.1 (logický prístup) a CC7.1 (identifikácia zraniteľností) sa čoraz častejšie pýtajú, čo sa testovalo medzi ročnými zákazkami a po významných zmenách.

Najsilnejšou odpoveďou je história skenov. Penetrify vytvára pri každom behu správu s časovou pečiatkou a zoradenú podľa závažnosti, takže dôkaz, ktorý audítorovi odovzdáte, je súvislý záznam cez celé auditné okno: čo sa testovalo, čo sa našlo, kedy sa to opravilo a aký opakovaný test to potvrdil. Tímy, ktoré si tento režim osvoja, prestanú pred auditmi hasiť, pretože dôkazy vznikajú ako vedľajší produkt nasadzovania.

Jedna poctivá výhrada: niektorí audítori a firemní zákazníci stále očakávajú ročný test podpísaný certifikovaným testerom. Pragmatické nastavenie je priebežné automatizované testovanie ako základ plus jedna manuálna zákazka ročne; automatizovaná história navyše tú zákazku zlacní, pretože ľahké nálezy sú už opravené.

Predávate bankám? DORA sa k vám dostane cez vašich zákazníkov

Od 17. januára 2025 sa na finančné subjekty v EÚ vzťahuje DORA (nariadenie (EÚ) 2022/2554) a jej články 28 – 30 ich robia zodpovednými za ICT riziko ich poskytovateľov tretích strán, čím ste vy, ak banka, poisťovňa alebo platobná inštitúcia beží na vašom SaaS. V praxi to prichádza ako rozsiahlejšie bezpečnostné dotazníky, zmluvné práva na audit a žiadosti o doklady o bezpečnostnom testovaní naviazané na ich povinnosti podľa DORA.

Vlastné TLPT vykonávať nemusíte (tá povinnosť patrí určeným finančným subjektom podľa článku 26), ale musíte doložiť dôveryhodný a priebežný program testovania. Priebežná história penetračných testov odpovie na sekciu dotazníka „ako testujete, ako často, ukážte nám“ oveľa lepšie než rok staré PDF.

Pridajte jediný krok do svojej GitHub Actions alebo GitLab CI pipeline. Penetrify automaticky testuje každé nasadenie a zhodí build, keď nájde kritickú zraniteľnosť. Bezpečnosť sa stane súčasťou vašej definition of done.

Penetrify testuje autorizáciu naprieč viacerými používateľskými rolami a hranicami tenantov: presne ten povrch útoku, ktorý manuálne skenery a tradičné DAST nástroje míňajú. IDOR v multi-tenant SaaS patrí k najčastejším príčinám úniku zákazníckych dát.

Každý sken v Penetrify vytvorí správu s časovou pečiatkou a zoradením podľa závažnosti. Keď sa vás audítor SOC 2 spýta na doklady o penetračnom testovaní, predložíte kompletnú históriu skenov za celé auditné obdobie, nie jediný dokument z jednej zákazky.

Penetrify začína na $100/month, čo je menej než hodina manuálneho konzultanta. Plán Professional ($1,700/month) pokrýva 20 skenov, takže je praktické testovať staging, produkciu aj každú významnú feature vetvu.