Auswahl eines Pentest-Dienstleisters: Welche Nachweise brauche ich – ist eine Autorisierung Pflicht?

Schaut weniger auf die Firmenzertifikate, sondern auf die praktischen Zertifizierungen der Person, die den Test tatsächlich durchführt. Theoriezertifikate holt sich heute jeder mit Prüfungsfragen aus dem Netz. Wenn die Ingenieure aber praktische Prüfungen bestanden haben, bei denen sie 24 Stunden lang Maschinen im Lab hacken mussten, wird der Bericht bei keinem Audit der Welt angezweifelt.

Wir haben vor zwei Jahren aus Sparsamkeit einen Pentest für 20.000 TL bei einem Team ohne Zertifizierungen machen lassen. Im Bericht standen am Ende quasi nur Serverversionsnummern. Bei einem Audit durch einen Großkunden fiel der Report krachend durch. Am Ende mussten wir 70.000 TL für eine TSE-zertifizierte Firma ausgeben und den kompletten Test nochmal von vorn aufrollen.

Beim Einholen von Angeboten schickt den Firmen eine standardisierte Eignungsliste. Vor Vertragsabschluss fordert diese drei Unterlagen an: 1) Lebenslauf und Prüfungszertifikat-Nummern des Personals, das den Test durchführt, 2) einen anonymisierten Beispiel-Testbericht, 3) falls vorhanden, eine Kopie der Berufshaftpflichtversicherungspolice. Firmen, die diese drei nicht liefern können, direkt aussortieren.

Das TSE-Zertifikat wird der Firma ausgestellt aber den Test können sie einen Praktikanten durchführen lassen. Auf dem Markt gibt es viele Läden, die eine corporate TSE-Fahne aufhängen und im Hintergrund einen automatischen Scanner laufen lassen. Lasst euch statt des Firmenstempels lieber vertraglich festschreiben wer genau die Angriffe direkt auf eure IP-Adressen durchführt.

Die ISO 27001 Norm verlangt eine unabhängige technische Bewertung, schreibt aber kein bestimmtes Dokument einer öffentlichen Stelle zwingend vor. Dennoch ist der Nachweis, dass der Testanbieter eine juristische Person ist und seine Kompetenz belegt hat, im Rahmen der technischen Maßnahmen des KVKK-Datensicherheitsleitfadens ein starkes Indiz zu euren Gunsten in Audit-Prozessen.

so ne Genehmigung sagt allein halt gar nix aus Leute. also wichtig ist, mit Leuten zu arbeiten, die die Erfahrung haben im Livesystem keine Serviceunterbrechung zu verursachen und lasst auf jeden Fall ne Klausel zur Berufshaftpflicht in den Vertrag aufnehmen.

Der erfahrene Entwickler bei uns in der Firma hat mit Open-Source-Sicherheitstools das System gescannt und einen Bericht erstellt – würde das akzeptiert wenn wir es beim ISO 27001-Zertifizierungsaudit vorlegen?

Der Kollege, der 25.000 TL anbietet, lässt zwei Tage lang ein Open-Source-Automatik-Tool laufen und legt euch 80 Seiten englischen Output hin. Der 85.000 TL verlangt ändert das Logo desselben Tools und druckt ein Cover mit TSE-Logo drauf. Der einzige Unterschied ist, dass der Prüfer beim ersten das Gesicht verzieht.

Bei uns ist es genauso.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Vergessene Testumgebungen sind häufiger das Einfallstor als das Live-System.

An deiner Stelle würde ich so vorgehen.

Entschuldigung, aber das gilt nicht in jedem Fall. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß, was man verbessern soll.

Nur als Notiz, könnte nützlich sein.

Ich hätte eine Frage, möchte aber nicht vom Thema abschweifen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen, dass er sich nicht lohnt.

Nur als Notiz, könnte nützlich sein.

Richtig.

Du hast recht ich bin denselben Weg gegangen. Sicherheit ist nicht absolut; es bedeutet, den Angriff so aufwendig zu machen dass er sich nicht lohnt.

Maßnahmen ohne vorherige Bestandsaufnahme lassen die Türen offen die man nicht sieht. übrigens wenn ihr das Ergebnis hier postet, hilft es auch anderen.

diesse Thema ist archiviert.

die Diskussion ist abgeschweift ich fasse mal zusammen dann der meiste Zeitverlust entsteht durch Arbeiten, die auf Freigaben warten.

wenn es jemand anders macht, würde mich das auch interessieren.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Der meiste Zeitverlust entsteht durch Arbeiten die auf Freigaben warten.

Das war's entschuldige, wenn ich zu lang war.

Kurzfassung für Neueinsteiger: Änderungen an Zahlungsdaten werden niemals über den Kanal bestätigt, über den sie eingehen.