È arrivato l'obbligo della circolare sui penetration test per gli appalti pubblici: con le nostre dimensioni a cosa dobbiamo adeguarci?

Le commissioni di gara sono inflessibili sui controlli legati alla circolare. Se nel report non sono presenti il timbro dell'ente approvato TSE e i numeri di matricola delle certificazioni degli analisti, la vostra offerta viene scartata direttamente in fase di valutazione tecnica. Non presentate assolutamente il report del freelance.

Il mese scorso abbiamo chiesto preventivi a tre aziende certificate TSE per un bando simile. Con un perimetro di due web app e un solo server, i prezzi sono stati 55.000 TL, 75.000 TL e 90.000 TL. Se mancano meno di 15 giorni alla gara, le aziende possono chiedere anche un sovrapprezzo per l'urgenza.

Copiate pari pari la clausola del penetration test dal capitolato e giratela ad almeno due aziende approvate TSE. Vi manderanno il questionario per definire il perimetro. Se escludete i moduli superflui quando lo compilate, riducete sia i tempi del test sia i costi.

Il vostro software verrà installato sui server locali nel data center dell'ente pubblico o fornirete un servizio in cloud? Nelle installazioni on-premise a volte bastano l'analisi del codice sorgente e il test applicativo, mentre per l'hosting esterno richiedono anche il test dell'infrastruttura.

Sul mercato ci sono un sacco di realtà che mettono il logo TSE sul sito ma poi subappaltano tutto. Prima di firmare il contratto controllate voi stessi se l'azienda è presente nell'albo delle società di penetration test registrate sul sito del TSE evitate di regalare commissioni a intermediari.

Alla nostra prima gara pubblica non conoscevamo la procedura e abbiamo presentato il report preso da una normale agenzia di cybersecurity. La commissione ha annullato la nostra offerta per mancanza di standard formali. Non abbiamo nemmeno potuto fare ricorso; buttati via i 30.000 TL spesi e bruciati 6 mesi di preparazione della gara. Con gli appalti pubblici se c'è una regola scritta va seguita alla lettera.

Il requisito della società certificata TSE è tassativo; verificate anche che la data del test indicata nel report rientri nella finestra di validità degli ultimi 6 o 12 mesi richiesta dal bando.

Ha ragione. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Io seguirei questa strada.

La mia domanda sarà un po' da principiante, scusate. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Argomento molto attuale. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Se scrivete qui il risultato, sarà utile anche ad altri.

vi spiego come si fa in pratica ma avere il backup accesibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

spero che le sia utile.

Ha ragione.

Ho lavorato a lungo su questo. Cercare di farlo da soli è la strada più costosa.

Confermato dall'esperienza.

sono d'accordo anzi vorrei sottolinearlo. nessun processo migliora senza tracciamento perhé non sai cosa correggere.

se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scopetro tardi.. e io seguirei questa strada.

Sono d'accordo.

Non ho alcuna esperienza in materia di circolare penetration test quindi chiedo... Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Buon lavoro.

c'è una trappola qui non posso non segnalarla. onestamente la risposta varia molto in base al settore, non esiste una regola generale.

spero che le sia utile.

Hai fatto bene ad aprire questo thread.