ما الوثائق التي يجب أن أطلبها عند اختيار شركة اختبار اختراق — هل شهادة الترخيص شرط؟

ركز على الشهادات التقنية العملية للخبير الذي سيجري الاختبار أكثر من تركيزك على شهادة الشركة؛ فالشهادات النظرية يسهل الحصول عليها عبر بنوك الأسئلة على الإنترنت. تقارير المهندسين الحاصلين على شهادات تقنية تثبت كفاءتهم باختراق أجهزة في بيئات معملية خلال 24 ساعة لا تكون محل شك أبداً في أي تدقيق.

قبل عامين تعاقدنا مع فريق بدون شهادات بميزانية 20.000 TL، فكان التقرير الذي تم تسليمه لا يحتوي إلا على أرقام إصدارات الخوادم. وعند خضوعنا لتدقيق من عميل مؤسسي كبير رُفض التقرير فوراً. اضطررنا بعدها لدفع 70.000 TL لشركة معتمدة من TSE لإعادة الاختبار بالكامل من البداية.

عند جمع العروض، أرسلوا للشركات قائمة معايير كفاءة موحدة. واطلبوا هذه المستندات الثلاثة قبل توقيع العقد: 1) السيرة الذاتية وأرقام شهادات الاختبار للشخص الذي سينفذ الفحص، 2) نموذج تقرير فحص تجريبي مع إخفاء البيانات، 3) نسخة من بوليصة تأمين المسؤولية المهنية إن وجدت. أي شركة لا تستطيع تقديم هذه الثلاثة استبعدوها مباشرة.

شهادة TSE تُمنح للشركة، لكنهم قد يتركون مهندسا متدربا يقوم بالفحص. السوق مليء بالشركات التي ترفع شعار TSE بينما تشغل في الخلفية ماسحا آليا فقط. بدلا من مجرد الاعتماد على ختم الشركة، اجعلوا العقد ينص صراحة على هوية الشخص الذي سينفذ الهجوم الفعلي على عناوين IP الخاصة بكم.

يشترط معيار ISO 27001 إجراء تقييم فني مستقل، ولكنه لا يلزم بالحصول على وثيقة من جهة حكومية بعينها. ومع ذلك، لإثبات استيفاء التدابير الفنية المنصوص عليها في دليل أمن البيانات الخاص بـ KVKK، فإن تمتع مزود خدمة الفحص بالشخصية الاعتبارية وإثبات كفاءته يُعد قرينة قوية لصالح شركتكم خلال عمليات التدقيق.

وثيقة التفويض لحالها ما تعني شي يا جماعة. المهم تشتغلوا مع ناس عندهم خبرة وما يسببوا انقطاع بالخدمة على النظام الفعلي. ضروري جدا تضيفوا بند تأمين مهني بالعقد.

لو قام مبرمج خبير عندنا في الشركة بفحص النظام بأدوات أمنية مفتوحة المصدر واستخرج تقريرا، وقدمناه في تدقيق شهادة ISO 27001، هل سيُقبل؟

اللي معطيك عرض بـ 25.000 TL رح يشغل أداة آلية مفتوحة المصدر ليومين ويرمي بيدك تقرير من 80 صفحة بالإنجليزي. واللي طالب 85.000 TL رح يغير شعار نفس الأداة ويحط غلاف عليه شعار TSE. الفرق الوحيد إن المدقق رح يعبس أول ما يشوف التقرير الأول.

عندنا نفس المشكلة.

أنا مشروع صغير، دعوني أشرح من منظوري. بيئات الاختبار المنسية تصبح ثغرات أمنية أكثر تكرارًا من الأنظمة الحية.

لو كنت مكانك، لسلك هذا المسار.

أرجو المعذرة، لكن هذا لا ينطبق في كل الحالات. لا تتحسن أي عملية لا يتم توثيقها، لأنك لا تعرف ما الذي يجب إصلاحه.

دعني أتركها كملاحظة، قد تكون مفيدة.

لدي سؤال، ولا أريد الخروج عن صلب الموضوع. الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

دعني أتركها كملاحظة، قد تكون مفيدة.

صحيح.

أنت محق، لقد مررت بنفس المسار. يعني الأمان ليس مطلقاً؛ بل يعني جعل الهجوم غير مجدٍ من حيث الجهد.

الإجراء المتخذ دون جرد المخزون يترك باباً لا تراه مفتوحاً. على كل حال إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

هذا العنوان مؤرشف.

تشتت النقاش، دعني ألخصه لكن معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

إذا كان هناك من يفعلها بطريقة أخرى، فأنا فضولي لمعرفة ذلك.

بعد تجربة ذلك، تغيرت نظرتي للأمور. يعني معظم إضاعة الوقت تتراكم في المهام المنتظرة للموافقة.

هذا كل شيء، أرجو المعذرة إذا أطالت.

ملخص سريع للجدد: لا يتم التحقق من تغييرات معلومات الدفع أبداً عبر القناة الواردة منها.