نحن شركة صغيرة/متوسطة (KOBİ)، هل اختبار الاختراق إجباري علينا قانوناً أم اختياري؟

طالما أن عقد العميل مطروح على الطاولة، فلا أهمية لما ينص عليه القانون؛ لن تبرم الصفقة أو العقد بدون هذا التقرير. عند طلب الأسعار، اطلب من الشركات تضمين الـ IP الخارجي وتطبيق الويب فقط. إذا استثنيت اختبار الشبكة الداخلية حالياً، يمكنك خفض المبلغ من 65.000 TL إلى حدود 35.000-40.000 TL.

العام الماضي مررنا بتجربة مماثلة مع فريقنا المكون من 30 شخصاً. اضطررنا لدفع 50.000 TL وإجرائه بسبب كراسة الشروط الخاصة بالعميل. أثناء الاختبار اكتشفنا أن منفذ قاعدة البيانات مفتوح للخارج بدون إذن وأن نقطة نهاية API قديمة تعمل بدون مصادقة. في البداية كنا نقول إنها مصاريف لا داعي لها، ولكن ضربة السمعة التي كنا سنتعرض لها بسبب تلك الثغرات كانت ستكلفنا أضعاف هذا المبلغ بكثير.

ظهر في السوق مئات الوسطاء الذين يشغلون برنامج فحص أوتوماتيكي مقابل 15.000 TL ويقدمون لك تقريراً من 80 صفحة. إذا كان فريق أمن المعلومات لدى عميلك المؤسسي يفهم قليلاً في هذا المجال، سيرمي ذلك التقرير في القمامة فوراً وتضيع أموالك هباءً. تأكد تماماً من أن الخدمة التي ستحصل عليها تتضمن تحققا يدوا واختراقاً قائماً على سيناريوهات.

يمكنك تقييم الموضوع في أربعة أطر أساسية: 1) إذا لم ينص قطاعك مباشرة على ذلك، فلا يوجد إلزام قانوني. 2) بما أنه يُعتبر من التدابير التقنية في إطار KVKK، فإن عدم إجراء الاختبار يُعد تقصيراً في حال حدوث تسريب محتمل للبيانات. 3) العملاء المؤسسيون الحاصلون على ISO 27001 قد يضعون هذا الشرط في العقد. 4) إذا أردت استخراج تأمين المسؤولية السيبرانية، فسيظهر لك كشرط في وثيقة التأمين.

بالمناسبة، عندما يصدر التقرير لا ترسل النتيجة بالكامل للعميل واطلب من شركة الأمن ملخصاً تنفيذياً (executive summary)... إعطاء التفاصيل التقنية التي تحتوي على جميع الثغرات وخطوات الاستغلال للعميل قد يخلق مخاطر أمنية أخرى.

في عمليات تدقيق الموردين، تكون خاضعاً لمصفوفة المخاطر الخاصة بالطرف الآخر. حماية حقوقك تتطلب توقيع اتفاقية عدم إفصاح قبل العقد، وطلب وثيقة تأكيد النطاق توضح أن نتائج التدقيق ستظل محصورة فقط بالنطاق المحدد.

هل اشترط عميلك في التقرير معيار TSE أو شهادة معينة؟ إذا كان مجرد تقرير من طرف ثالث مستقل كافياً، يمكنك تقليل التكلفة بحصر النطاق في لوحة الويب فقط، هل قرأت كراسة الشروط بالكامل؟

في البداية يبدو للجميع كمصروف لا معنى له، ولكن هذه مرحلة يمر بها كل طور مطور برمجيات B2B يرغب في النمو. يعني بمجرد إجرائه مرة واحدة وتعلم المنهجية، تسير العملية في السنوات التالية بشكل أسرع بكثير وبدون توتر، فلا تقلق.

ما كُتب هنا يطابق تماماً ما عشناه. معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

هناك جانب قياس لهذا الأمر أيضًا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

موضوع في الوقت المناسب تمامًا. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

تم الحفظ. طيب تدوين الملاحظات لمدة أسبوعين يعطي نتائج أفضل من التخمين لمدة ستة أشهر.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

بالضبط هكذا. الحلول التي تنجح على نطاق صغير تنهار عند التوسع، تعلمت هذا متأخراً.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

ارتحت لقراءة هذه الإجابة، يبدو أن المشكلة ليست عندي وحدي. يعني الخطأ المرتكب من جانب اختبار الاختراق للشركات الصغيرة والمتوسطة إجباري قابل للإصلاح عادةً، لكنه مكلف.

بعد تجربة ذلك، تغيرت نظرتي للأمور. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

هذا كل شيء، أرجو المعذرة إذا أطالت.

هناك ثلاثة أمور يجب مراعاتها أثناء القيام بذلك. إذا حصلت على ثلاث إجابات مختلفة حول موضوع ما، فالسؤال طرح بشكل خاطئ.

اكتبوا إذا كانت لديكم أسئلة، سأجيب قدر استطاعتي.

أنا أيضًا متحمس لمعرفة ذلك.

إذا لم أخطئ الفهم، فأنت تقول: وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

صححوا لي إن أخطأت.