طلبوا "اختبار أمان" — ما الذي يتم بالضبط، وما المطلوب منا بالتحديد؟

راسل فورًا فريق أمن المعلومات لدى عميلك واطلب منهم منهجية الاختبار المعتمدة لديهم ونموذج نطاق الاختبار. لو أجريت الاختبار باجتهاد شخصي قد يرفضون التقرير بحجة أنه غير مطابق للصيغة المطلوبة.

غالبًا ما يجرون اختبار الصندوق الرمادي 'Gray Box'. لن يطلبوا الكود المصدري، لكنهم سيطلبون اسم مستخدم وكلمة مرور. الهدف هو التأكد مما إذا كان موظف مستودع عادي قادرًا على تصعيد صلاحياته والوصول لوظائف المدير.

أجرينا فحصًا العام الماضي لمنتج SaaS بحجم مماثل لمنتجكم. استغرق الفحص 5 أيام عمل، ووجدوا ثغرة حرجة و3 ثغرات متوسطة. استغرق فريقنا حوالي 25 ساعة عمل لإصلاحها. وبعد تسليم التقرير النظيف للعميل، وُقّع العقد بدون أي مشاكل.

عقد العميل حدد ضرورة إجراء الفحص من جهة مستقلة، ولكن هل اشترطوا اعتماد TSE أو شهادات دولية محددة لشركة الفحص؟ إذا لم تنتبهوا لهذه النقطة فقد يُعتبر التقرير لاغيًا.

ما يجب تجهيزه قبل بدء الفحص: 1) توثيق الـ API أو مخرجات Swagger، 2) عناوين الدخول وبيانات مستخدمي البيئة التجريبية، 3) رقم هاتف المسؤول التقني المخول بإيقاف الاختبار في حالات الطوارئ.

عند تجهيز بيئة الاختبار احرصوا على تصفير أسماء العملاء وأرقام هواتفهم الحقيقية الموجودة على اللايف لكن ارفعوا بيانات وهمية للبيئة التجريبية حتى لا تظهر بيانات حقيقية مكشوفة في لقطات شاشة التقرير.

أهلاً بكم في مراسم التعارف مع الشركات الكبرى. بعد اختبار الأمان، سيأتي دور استبيان تقييم مخاطر الطرف الثالث المكون من 80 بندًا، جهزوا القهوة من الآن.

لهذا النهج ثمن، لكنه لا يُناقش. الناس يدافعون عن العادات وليس العمليات. المقاومة تأتي من هناك.

هذا كل شيء، أرجو المعذرة إذا أطالت.

نعم، الوضع في موضوع ما هو اختبار الأمان هو بالضبط هكذا. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أنت محق.

الطريق الذي يبدو رخيصاً غالباً ما يكلف غالياً لاحقاً. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.

تم الحفظ.

أتفق مع هذا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

صححوا لي إن أخطأت.

زالت حيرتي، شكراً لكم.

لا أعتقد أن هذه النصيحة تناسب الجميع. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

بالتوفيق.

أحسنت في فتح هذا العنوان.

هناك جانب قياس لهذا الأمر أيضًا. تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى. دعني أتركها كملاحظة، قد تكون مفيدة.

هذا العنوان مؤرشف.