قالوا لي "Pentest/اختبار الاختراق" — يعني إيش، وهل فعلاً ضروري لإحنا كشركة صغيرة؟

وإنت على الطاولة عقد سنوي بـ 1.800.000 TL، ما تشوفش اختبار الاختراق بـ 35.000 TL كمصروف. فرق التدقيق عند العملاء الكبار ما توقّع عقد أبداً بدون هذا التقرير. لو ما عملتوش، بيسيبوا الطاولة والاتفاقية بتروح مباشرة لمنافس بيوفر هذا الشرط.

وقت ما تاخد عرض سعر، حدد النطاق (scope) كويس. عشان تنزّل السعر، خلي النطاق بس على دومين بوابة الويب اللي بيدخلها الموزعين ونقاط الـ API؛ واستثني شبكة المكتب أو سيرفرات إيميل الشركة. الاختبار لازم يتعمل بطريقة 'الصندوق الرمادي' (gray box) بإعطائهم حساب مستخدم موزع.

السنة اللي فاتت إحنا كمان دفعنا 40.000 TL وعملناه عشان نقدر نشتغل مع سلسلة أسواق. أثناء الاختبار اتضح إن موزع في بوابتنا يقدر ينزّل سجل طلبات موزع تاني ببارامتر واحد بس. الحمد لله إننا عملناه؛ الخسارة في السمعة التجارية مع موزعينا لو حصل تسرب بيانات كانت أضعاف أضعاف الفلوس دي.

حاجات لازم تاخد بالك منها وقت الاتفاق مع الشركة: 1) خلّيهم يكتبوا في العقد إن الخبير اللي هيشتغل عنده شهادات أمن سيبراني سارية (TSE أو ما يعادلها دولياً). 2) اطلب إن الاختبار يتعمل خارج ساعات العمل أو على سيرفر احتياطي عشان ما يقفلش قاعدة البيانات. 3) تأكد إن اختبار التحقق بعد إغلاق الثغرات داخل في السعر.

في السوق شركات كتير بتشغّل برنامج أوتوماتيكي وتبيع مخرجات إنجليزي من 15 صفحة على إنها تقرير. لو دفعت 35.000 TL وطلعت بس مخرجات أداة فحص قياسية، فريق أمن المعلومات عند الطرف التاني هيرفض التقرير فوراً. اسأل الشركة اللي بتقدم عرض السعر بوضوح: كام ساعة اختبار منطقي يدوي هتعملوا؟

متبعتش التقرير الأول للعميل أبداً. بصراحة التقرير الأول أكيد هيطلع فيه ثغرات حرجة باللون الأحمر ثم مطورك هيقفل الثغرات دي، وشركة الأمن هتراجع تاني ولما توافق، ساعتها هتدي العميل الملخص التنفيذي النظيف.

طلب الشركات المؤسسية لتدقيق أمني مستقل عند اختيار الموردين إلزامي بموجب KVKK ومعايير إدارة أمن المعلومات. تكلفة الاختبار المطلوب تعتبر ضمانة تشغيلية معقولة مقارنة بغرامات إدارية ومخاطر تعويضات تجارية محتملة نتيجة أي خرق بيانات.

ابعت النطاق كتابةً للشركة اللي عرضت 35.000 TL، واربط العقد شامل اختبار التحقق. واكتب فوراً للعميل خطاب رسمي وقول: "تم التخطيط لاختبار الاختراق وسيُرسل تقريرنا لكم خلال 10 أيام". كده الجدول الزمني للعقد عند العميل بيمشي من غير تعطيل.

أنا مشروع صغير، دعوني أشرح من منظوري. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

أحسنت، بارك الله في جهدك.

هناك فخ هنا، لا أريد المرور عليه دون ذكره. لا تعتمدوا على إجراء وقائي واحد؛ اتبعوا نهج الطبقات.

بعد تجربة ذلك، تغيرت نظرتي للأمور. على كل حال وقت اكتشاف المشكلة يحدد تكلفتها بشكل مباشر.

الخطأ المرتكب من جانب ما هو اختبار الاختراق pentest قابل للإصلاح عادةً، لكنه مكلف.

أنصح بعدم العجلة. عند اتخاذ القرار، اكتب أسوأ سيناريو أيضًا، وليس الأفضل فقط.

صححوا لي إن أخطأت.

أنت محق، لقد مررت بنفس المسار. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

ما كُتب هنا يطابق تماماً ما عشناه. الخطأ المرتكب من جانب ما هو اختبار الاختراق pentest قابل للإصلاح عادةً، لكنه مكلف.

الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

أنا أيضًا أوافق على هذا الرأي وإذا لم تقم بصياغة هذا كتابيًا من البداية، فستنشأ خلافات لاحقًا.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

سأكون ممتنًا لو شاركت النتيجة. إذا كان التحقق بخطوتين مفعلًا، فإن كلمة المرور المسروقة وحدها لا تكفي.

بالضبط، بل إن هذا الجانب غير معروف بشكل كافٍ. فعل الجميع لشيء ما لا يعني أنه صحيح.