Uno ha proposto un vulnerability assessment e l'altro un penetration test: qual è la differenza e cosa serve?

Pensatela così: il vulnerability assessment è un robot che gira attorno all'edificio e guarda da lontano con un binocolo se ci sono finestre aperte, e a volte scambia un riflesso per un vetro aperto. Il penetration test invece è un fabbro esperto che tenta concretamente di entrare nell'edificio. I clienti enterprise vogliono sempre vedere il report del fabbro.

Abbiamo fatto lo stesso errore due anni fa. Per una vendita da 50.000 dollari abbiamo mandato un report da 1.200 dollari fatto con scanner automatico. Il responsabile della sicurezza del cliente ha respinto il report in 10 minuti dicendo 'Questo non è un pentest, è l'output di un comune scanner' e ha bloccato la trattativa per due mesi. Alla fine abbiamo dovuto fare il test completo e pagare 6.000 dollari.

Controllate cosa c'è scritto esattamente nel questionario di sicurezza (security questionnaire) del cliente. Se c'è scritto 'penetration test report performed by an independent third party', scartate subito il preventivo da 1.500 dollari. Presentare una scansione di vulnerabilità al cliente sarebbe solo una perdita di tempo.

Chi vi fa quella scansione da 1.500 dollari con ogni probabilità lancerà un tool open source contro il vostro server e stamperà il proprio logo sull'output in PDF. È un'operazione che potete fare da soli in due ore non buttateci via quei soldi.

Nella gestione del rischio d'impresa le valutazioni dei fornitori seguono regole rigidissime. Dato che il vostro software HR ospiterà i dati personali dei dipendenti del cliente, i team di compliance legale riterranno prova d'audit valida esclusivamente l'executive summary e il remediation report che solo un penetration test manuale è in grado di fornire.

tratta con l'azienda da 6.500 dollari, scendono sui 5.500... boh ma prendi assolutamente il penetration test l'altra opzione sembra troppo amatoriale agli occhi del cliente.

PS: è stato chiesto qui sotto, ho scritto la risposta nel secondo messaggio.

Quando parli con la seconda azienda fai inserire assolutamente la clausola di re-test nel contratto. Finito il test ti daranno l'elenco delle vulnerabilità, voi le sistemate e vi fate rilasciare un report finale pulito. Il vero documento da presentare al cliente è proprio quel report pulito.

Su questo punto non sono d'accordo. Più è difficile tornare indietro su una decisione più lentamente dovreste prenderla.

Lascio una nota potrebbe servire.

sono d'accordo.

Sono d'accordo in parte, in parte no. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Naturalmente cambia se la vostra situazione è diversa.

Non ho alcuna esperienza in materia di vulnerability assessment penetration test, quindi chiedo. Chiunque abbia fretta su vulnerability assessment penetration test si blocca nello stesso punto.

Io seguirei questa strada.

Questo approccio ha un costo, di cui non si parla. Se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Può approfondire un po'? Il vero problema non è il numero ma su cosa si basa quel numero.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. Correggetemi se sbaglio.

Secondo me è difficile essere così netti sul lato vulnerability assessment penetration test. Quando decidiamo senza misurare finiamo sempre nello stesso punto.

Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi. Io seguirei questa strada.

Grazie mille, era la risposta che cercavo. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

È tutto, scusate se mi sono dilungato.

Grazie per aver scritto.

Sono una piccola impresa, vi parlo dal mio punto di vista. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Buon lavoro.

Sono d'accordo.