عميل كبير يطلب اختبار اختراق قبل توقيع العقد، كيف نحدد نطاق العمل؟

مدققو الشركات الكبرى يكتشفون مخرجات الفحص الآلي فوراً. إن لم يكن في بداية التقرير ملخص تنفيذي وإشارة إلى المنهجية المتبعة وتاريخ معالجة الثغرات، فلن يقبل العميل هذا التقرير. لا تبحث عن الخيار الرخيص وتخاطر بخسارة العميل.

اطلب نسخة مكتوبة من دفتر الشروط الذي يطلبه عميلك. في معظم الهياكل المؤسسية، تكون المتطلبات الأمنية محددة بقائمة مراجعة معيارية. الحصول على هذه الوثيقة وتقديمها لشركات الأمان التي تطلب منها عروض أسعار سيجنبك التكاليف الخارجة عن النطاق.

لتوضيح النطاق، يجب أن تعطي الشركات هذه المعايير الثلاثة بوضوح: 1) عدد أدوار المستخدمين في النظام (مدير، موزع، مستخدم عادي). 2) عدد نقاط نهاية API المفتوحة للعامة. 3) هل سيتم الاختبار على البيئة الحية أم على سيرفر تجريبي مخصص يطابق البيئة الحية تماماً.

نحن أيضاً فريق من 18 شخصاً في فالنسيا. وافق عميل مماثل على اختبار أجريناه بميزانية حوالي 4.000 Euro. استغرق الاختبار 4 أيام وظهرت ثغرتان عاليتان في التقرير. سد فريقنا الثغرات خلال 10 أيام وقدمت الشركة تقرير إعادة اختبار مجاني. ووقع العميل العقد بعد يومين.

من قدم عرضاً بقيمة 8.500 Euro من المحتمل أنه أدخل بنية السحابة بالكامل وشبكة المكتب في الحساب. لِمَ تختبر شبكة مكتبك التي لا تحتوي على بيانات العميل أصلاً؟ ما يشمله عقد البيع يجب أن يقتصر الاختبار على تدفق بياناته فقط.

إياك أن تجري الاختبار على قاعدة البيانات الحية. أنشئ بيئة اختبار مطابقة للحية تماماً ولكن مليئة ببيانات وهمية. قد يحدث قفل لقاعدة البيانات أو عمليات حذف غير متوقعة أثناء اختبارات الأمان، فلا توقف عملياتك الحقيقية.

برأيي ابتعد عن الشركات التي تقول سننهيه في يومين. يشغلون فاحصاً آلياً ويسلمون ملف pdf مباشرة. العميل المؤسسي سيعرف هذا فوراً ويطلب إعادته من البداية.

تعديل: كتبت خطأً أعلاه، أرجو المعذرة.

65.000 Euro سنوياً عقد ممتاز، مبارك لك. 3.000-4.000 Euro استثمار أمني طبيعي جداً لعمل بهذا الحجم... طيب حتى أنه بعد أخذ هذا التقرير يمكنك تقديمه كعنصر ثقة لعملائك المؤسسيين المحتملين الآخرين.

هناك جانب قياس لهذا الأمر أيضًا. عندما تحاول تغيير كل شيء دفعة واحدة، لا يستقر أي شيء.

بالتوفيق.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أنا أيضًا متحمس لمعرفة ذلك.

هذا العنوان مؤرشف.

دعونا نفرق بين المفاهيم، فهناك خلط بينها. تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع.

لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

أحسنت، بارك الله في جهدك. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

أتمنى أن يفيدك هذا.

نحن أيضاً واجهنا نفس المشكلة في فترة معينة. إمكانية الوصول إلى النسخة الاحتياطية عبر نفس الشبكة ونفس الهوية تجعلها جزءًا من الهدف.

لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.

أود طرح سؤال. إذا قمت بتوبيخ الإنذارات الكاذبة، فلن يقوم أحد بالإبلاغ مرة أخرى.

أتمنى أن يفيدك هذا.

حدث معي العكس تماماً، لذلك أكتب هذا. محاولة فعل هذا بمفردك هي أغلى الطرق.

تسير الأمور على ما يرام في الأشهر الثلاثة الأولى، وتظهر المشاكل في الشهر الرابع. دعني أتركها كملاحظة، قد تكون مفيدة.

دعني أوضح الجانب التقني قليلاً. إذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.