Quali certificazioni richiedere per un penetration test — serve l'autorizzazione formale?

Più che ai certificati societari, guardate alle certificazioni tecniche dello specialista che eseguirà il test ottenute tramite esami pratici. Le certificazioni teoriche si prendono facilmente con i dump di domande su internet. I report di ingegneri con certificazioni pratiche in cui si dimostra la competenza bucando macchine in laboratorio per 24 ore non vengono mai messi in discussione negli audit.

Due anni fa abbiamo acquistato un test da un team non certificato con un budget di 20.000 TL. Nel report consegnato c'erano praticamente solo i numeri di versione dei server. Durante l'audit di un grande cliente enterprise, quella relazione è stata bocciata all'istante. Alla fine siamo stati costretti a pagare 70.000 TL a una società approvata da TSE per rifare il test da zero.

Quando raccogliete i preventivi, inviate alle aziende una checklist standard di qualifica. Prima del contratto richiedete questi tre documenti: 1) CV del personale che eseguirà il test con i relativi numeri di certificazione, 2) Un esempio di report di test anonimizzato, 3) Se disponibile, una copia della polizza di assicurazione per responsabilità professionale. Chi non è in grado di fornire questi tre elementi va scartato direttamente.

La certificazione TSE viene rilasciata all'azienda ma poi il test potrebbero farlo fare a uno stagista. Sul mercato è pieno di realtà che si fanno scudo con il logo istituzionale TSE e poi dietro fanno girare solo uno scanner automatico. Più che il timbro dell'azienda, fate mettere a contratto chi sarà la persona fisica che lancerà l'attacco ai vostri indirizzi IP.

Lo standard ISO 27001 richiede una valutazione tecnica indipendente, ma non impone una certificazione specifica rilasciata da un ente pubblico. Tuttavia, per dimostrare l'adempimento delle misure tecniche previste dalla Guida alla Sicurezza dei Dati del KVKK, il fatto che il fornitore del test abbia personalità giuridica e competenze comprovate costituisce un elemento fortemente a favore della vostra azienda in sede di audit.

raga il certificato di autorizzazione da solo nn vuol dire niente. l'importante e' lavorare con gente ke ha esperienza e nn ti manda giu' i sisteemi in produzione. fate mettere assolutamente la clausola dell'assicurazione professionale nel contratto.

Se il nostro sviluppatore senior facesse una scansione del sistema usando tool di sicurezza open source e tirasse fuori un report presentandolo all'audit di certificazione ISO 27001 verrebbe accettato?

Quello che vi chiede 25.000 TL farà girare tool automatici open source per due giorni e vi butterà lì un output di 80 pagine in inglese. Quello da 85.000 TL cambierà solo il logo allo stesso identico tool e ci stamperà sopra una copertina con il marchio TSE. L'unica differenza è che l'auditor storcerà il naso solo vedendo il primo.

Anche da noi è così.

Sono una piccola impresa, vi parlo dal mio punto di vista. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Io seguirei questa strada.

Scusate, ma questo non vale in ogni caso. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Lascio una nota, potrebbe servire.

Avrei una domanda, non vorrei deviare dall'argomento, ma... La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Lascio una nota, potrebbe servire.

Corretto.

Avete ragione sono passato anch'io per la stessa strada. La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. comunque se scrivete qui il risultato sarà utile anche ad altri.

questo thread è archiviato.

la discussione si è dispersa la riassumo. onestamente gran parte del tempo perso si accumlua nelle pratiche in attesa di approvazione.

sono curioso di sapere se qualuno lo fa in modo diverso.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

È tutto, scusate se mi sono dilungato.

Breve riassunto per i nuovi arrivati: Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.