Mi hanno parlato di "penetration test": serve davvero per le nostre dimensioni, a cosa serve?

Non ha alcun senso che l'agenzia faccia il penetration test sul codice che ha scritto lei stessa. Non potete aspettarvi che trovino e segnalino i loro stessi errori. Se decidete di farlo, chiedete un preventivo a un'azienda specializzata esclusivamente in sicurezza informatica, del tutto indipendente da chi ha sviluppato il portale.

Nel penetration test si controllano soprattutto le falle di 'Broken Object Level Authorization', cioè la visualizzazione non autorizzata di dati. Per dire: se il rivenditore A accede e cambia l'ID fattura nella barra del browser da 101 a 102, riesce a vedere la fattura del rivenditore B? Un firewall non lo rileva mica, solo un penetration test lo becca.

L'anno scorso, per un nostro portale di dimensioni simili con 20 rivenditori, abbiamo speso 35.000 TL con un professionista indipendente. Dal report è emerso che due rivenditori potevano vedere le reciproche percentuali di sconto. Se quella falla fosse trapelata sul mercato la nostra reputazione commerciale sarebbe andata a farsi benedire, sono stati soldi spesi benissimo.

l'agenzia quasi sicuramente lancerà un tool automatico e vi tirerà fuori un pdf. chiedete il documento di scope, verificate se c'è scritto quante ore di test manuale faranno.

edit: ho scritto da telefono, scusate gli errori di battitura.

Incassate con carta di credito sul portale? Se memorizzate dati di carte o se i dati di pagamento transitano dal vostro server anziché tramite un gateway di pagamento esterno il test non è un lusso, è un obbligo assoluto.

Prima di accettare l'offerta fate questa domanda all'agenzia: 'Sarà un test grey box o black box? La verifica di remediation (il re-test) dopo la chiusura delle vulnerabilità è inclusa nel prezzo?' Se manca il re-test, il report finisce dritto nel cestino.

Due anni fa a un mio conoscente grossista tessile hanno bucato il portale e venduto lista clienti e listini prezzi alla concorrenza. Né backup né SSL sono serviti a nulla. Da quel giorno facciamo controlli di sicurezza di routine a ogni aggiornamento importante.

Vorrei fare una domanda. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi. Se scrivete qui il risultato, sarà utile anche ad altri.

salvato ma le persone difendono le abitudini non i processi. la resistenza nasce da lì.

Breve riassunto per i nuovi arrivati: Un backup non testato non è un backup.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere. Buon lavoro.

Sono d'accordo anzi vorrei sottolinearlo. onestamente chiunque abbia fretta su cos'è il penetration test si blocca nello stesso punto.

È tutto, scusate se mi sono dilungato.

Secondo voi funziona a tutte le scale? Il vero problema non è il numero, ma su cosa si basa quel numero.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

La discussione si è dispersa, la riassumo. Se ricevete tre risposte diverse su un argomento la domanda è posta male.

Se scrivete qui il risultato, sarà utile anche ad altri.

Non lo sapevo.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Un backup non testato non è un backup.

Io seguirei questa strada.

Hai fatto bene ad aprire questo thread.

Ottimo lavoro. Se è la prima volta inizia in piccolo, il ridimensionamento viene dopo.

Io seguirei questa strada.

Vorrei fare una domanda. Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Se ricevete tre risposte diverse su un argomento, la domanda è posta male. Spero che le sia utile.