Sie fordern einen "Sicherheitstest" an – was genau passiert da und was wird von uns erwartet?

Schreibt sofort dem IT-Sicherheitsteam des Kunden eine E-Mail und bittet um deren akzeptierte Standard-Testmethodik sowie die Vorlage für das Scoping-Formular. Wenn ihr auf eigene Faust testen lasst lehnen sie den Bericht am Ende womöglich ab, weil das Format nicht passt.

In der Regel machen die einen 'Gray Box'-Test. Sie wollen keinen Quellcode sehen, verlangen aber Benutzername und Passwort. Ziel ist es zu prüfen, ob sich ein normaler Lagermitarbeiter höhere Rechte verschaffen und auf Admin-Funktionen zugreifen kann.

Wir haben letztes Jahr für unser SaaS-Produkt in ähnlicher Größenordnung einen Test machen lassen. Das Ganze hat 5 Arbeitstage gedauert; gefunden wurden 1 kritische und 3 mittlere Lücken. Unser Dev-Team hat etwa 25 Arbeitsstunden für die Fixes gebraucht. Nachdem wir dem Kunden den sauberen Bericht vorgelegt hatten, wurde der Vertrag anstandslos unterschrieben.

Im Kundenvertrag steht zwar dass der Bericht von einer unabhängigen Stelle stammen muss aber haben sie TSE-Zertifizierungen oder bestimmte internationale Standards für den Anbieter vorgegeben? Wenn ihr darauf nicht achtet erkennen sie den Bericht nachher womöglich nicht an.

Was ihr vor Testbeginn parat haben solltet: 1) API-Dokumentation oder Swagger-Export, 2) URLs und Logindaten für die Testumgebung, 3) Handynummer des technischen Ansprechpartners, der den Test im Notfall stoppen kann.

beim aufsetzen der testumgebung unbedingt alle echten kunden- und telefonnummern aus dem livesystem löschen und naja ladet anonymisierte daaten hoch nicht dass am ende noch kundendaten als screenshot im abschlussbericht landen.

Willkommen im Club der Großkunden-Bürokratie. halt nach dem Pentest kommt dann als Nächstes der 80-Punkte-Fragebogen zur Risikobewertung von Drittanbietern – holt euch schon mal frischen Kaffee.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird. Menschen verteidigen nicht den Prozess, sondern die Gewohnheit. Der Widerstand kommt daher.

Das war's, entschuldige, wenn ich zu lang war.

Ja, die Situation bei Sicherheitstest ist genau so. Wenn man versucht, alles gleichzeitig zu ändern, etabliert sich nichts richtig.

Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Du hast recht.

Der billige Weg stellt sich oft im Nachhinein als teuer heraus. Je schwerer es ist, eine Entscheidung rückgängig zu machen desto langsamer solltet ihr sie treffen.

Das ist meine Meinung ich behaupte nicht, dass es absolut richtig ist.

Gespeichert.

Da stimme ich zu. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Korrigiert mich, falls ich falsch liege.

Meine Frage ist geklärt, vielen Dank.

dieser Rat passt meiner Meinung nach nicht auf jeden. entscheidend ist nicht die Zahl, sondern worauf sie sich bezieht.

viel Erfolg.

Gut, dass du diesen Thread eröffnet hast.

Es gibt auch noch die Mess-Seite. Zwei Wochen Notizen machen liefert bessere Ergebnisse als eine sechsmonatige Schätzung.

Wenn man Fehlalarme anschreit, meldet sich danach niemand mehr. Nur als Notiz, könnte nützlich sein.

Dieses Thema ist archiviert.