Siamo una PMI: il penetration test è obbligatorio per legge o è facoltativo?

Se il contratto con il cliente è già sul tavolo, poco importa cosa dica la normativa: senza quel report non chiuderete mai la gara o l'accordo. Quando chiedete i preventivi dite alle agenzie di limitare il perimetro solo a IP esterni e web app. Escludendo per ora il test della rete interna potete abbassare il costo da 65.000 TL a circa 35.000-40.000 TL.

L'anno scorso con il nostro team di 30 persone abbiamo passato una cosa simile. Per via del capitolato del cliente siamo stati costretti a spendere 50.000 TL per farlo fare. Durante il test abbiamo scoperto che la porta del nostro database era aperta verso l'esterno senza autorizzazione e che un vecchio endpoint API funzionava senza alcuna autenticazione. All'inizio ci sembrava una spesa inutile, ma il danno d'immagine che avremmo subito per colpa di quelle falle sarebbe costato infinitamente di più di quei soldi.

Sul mercato sono spuntati centinaia di intermediari che per 15.000 TL lanciano un software di scansione automatica e ti sbattono sul tavolo un report di 80 pagine. Se il team di sicurezza informatica del vostro cliente enterprise ne capisce anche solo un minimo, quel report lo butta dritto nel cestino e voi avete buttato i soldi. Assicuratevi assolutamente che il servizio includa verifiche manuali e penetration test basati su scenari reali.

La questione si può valutare sotto quattro aspetti principali: 1) Se non c'è un obbligo settoriale diretto, non sussiste alcun obbligo di legge. 2) Essendo considerata una misura tecnica ai sensi del KVKK, in caso di data breach il non aver effettuato i test verrebbe considerato una colpa/negligenza. 3) I clienti enterprise certificati ISO 27001 possono inserirlo come clausola contrattuale. 4) Se volete stipulare una polizza di assicurazione per responsabilità informatica (cyber risk), ve lo chiederanno come requisito di polizza.

cmq quando esce il report non mandatelo per intero al cliente. chiedete alla ditta di sicurezza un executive summary (sintesi per la direzione) e dare al cliente tutti i dettagli tecnici con le vulnerabilità e i passaggi di exploit crea solo altri rischi di sicurezza.

Nei processi di audit dei fornitori si è soggetti alla matrice di rischio della controparte. Per tutelare i vostri diritti, prima del contratto è opportuno firmare un accordo di riservatezza (NDA) e richiedere un documento di definizione del perimetro, che attesti che le evidenze dell'audit resteranno limitate esclusivamente all'ambito concordato.

Il vostro cliente ha richiesto standard TSE o specifiche certificazioni nel report? Se basta un report di terze parti indipendenti, potete limitare l'ambito al solo pannello web per abbattere i costi, avete controllato bene il capitolato?

All'inizio sembra a tutti una spesa senza senso ma è un passaggio obbligato per qualsiasi software house B2B che vuole crescere. Una volta fatto la prima volta e capita la metodologia negli anni successivi il processo diventa molto più rapido e senza stress, non fatevi spaventare.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Naturalmente cambia se la vostra situazione è diversa.

C'è anche un aspetto di misurazione. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Argomento molto attuale. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

Se scrivete qui il risultato, sarà utile anche ad altri.

salvato ma prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

se avete domande scrivete, risponddo per quanto possibile.

Esattamente così. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Mi sono rilassato leggendo questa risposta, quindi non succede solo a me. L'errore commesso da pmi penetration test obbligatorio è generalmente reversibile ma costoso.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

È tutto, scusate se mi sono dilungato.

Tre cose da controllare mentre lo fai. Se ricevete tre risposte diverse su un argomento la domanda è posta male.

Se avete domande, scrivete, rispondo per quanto possibile.

Mi chiedo anch'io.

Se non ho capito male, stai dicendo che: Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Correggetemi se sbaglio.