Il cliente vuole inserire una clausola di security audit nel contratto, cosa significa?

Prima di andare a trattare col cliente dovete chiarire questi 3 punti: 1) Vogliono una scansione tecnica delle vulnerabilità o un audit orientato alle certificazioni? 2) Chi sceglie la società di audit e chi la paga? 3) Se emergono criticità, quali sono i tempi di fix e come impattano sulla data di rilascio? Se non blindate questi 3 aspetti nel contratto, rischiate il blocco totale.

Non rifiutate subito il contratto, ma circoscrivete la clausola. Fate inserire la dicitura "penetration test a livello applicativo con frequenza massima annuale e perimetro concordato ragionevolmente col cliente". Proponete anche che il costo dell'auditor per il primo anno sia a carico loro o aggiunto alla fattura da 55.000 dollari. Di solito l'ufficio acquisti accetta.

Ci siamo trovati nella stessa situazione chiudendo un contratto da 40.000 dollari con un'azienda di New York. Abbiamo ingaggiato un team esterno per un grey-box pentest solo su API e pannello. Ci sono voluti 8 giorni lavorativi e abbiamo speso 4.200 dollari. Abbiamo sistemato 2 vulnerabilità medie in 3 giorni, inviato il report al cliente e hanno approvato subito.

Che tipo di dati tratterete nel sistema del cliente? Gestite carte di credito, dati sanitari o informazioni riservate sui dipendenti che ricadono sotto normative specifiche? Se salvate solo dati logistici operativi e percorsi, il team di compliance aziendale potrebbe accontentarsi anche solo di un questionario di sicurezza predefinito. Avete provato a fornirgli la documentazione di sicurezza della vostra infrastruttura?

capitato anche a noi le grandi aziende hanno quella clausola fissa nei modelli contrattuali. abbiamo chiesto spiegazioni e manco loro sapevano bene cosa volevano, bastava solo compilare un questionario di sicurezza interno poi nn buttate soldi in csotosi audit esterni prima fatevi dire x iscritto cosa serve di preciso.

Molti dicono di cavarsela con un pentest economico, ma non è così semplice. Se l'IT del cliente è strutturato, controllerà il formato del report e persino le certificazioni dell'azienda che ha fatto l'audit. Se gli presentate un report da 1.000 dollari generato con uno scanner automatico trovato online farete una pessima figura. Per risparmiare sul perimetro rischiate di bruciarvi la credibilità professionale.

Nei contratti enterprise la clausola sul diritto di audit è una prassi consolidata, ma va assolutamente delimitata. Consiglio di predisporre un protocollo aggiuntivo che preveda lo svolgimento delle verifiche solo in orario lavorativo ordinario, senza impatti sui processi operativi, affidate a un soggetto terzo vincolato a NDA e con costi preventivamente concordati e ripartiti.

ma durante questo audit siamo obbligati a consegnare il codice sorgente al cliente o alla società terza? c'è il rischio di fughe di proprietà intellettuale o il sistema viene testato solo dall'esterno?

corretto. la maggior parte degli incidenti non innizia da una vulnerabilità ma da una password trapelata.

se avete domande scrivete rispndo per quanto possibile.

La discussione si è dispersa, la riassumo. Un backup non testato non è un backup.

Confermato dall'esperienza.

Ho vissuto la stessa cosa.

c'è una parte che non ho capito.. poi boh il fatto che tutti facciano una cosa non significa che sia quella giusta.

è tutto scusate se mi sono dilungato.

Ottimo lavoro. comunque avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Se scrivete qui il risultato, sarà utile anche ad altri.

Sono emerse tre opinioni diverse, si completano a vicenda. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Correggetemi se sbaglio.

Sono d'accordo.

Corretto.

La strada che sembra economica di solito finisce per costare cara. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Argomento molto attuale.