Un grande cliente richiede un penetration test pre-contrattuale, come dobbiamo definirne l'ambito?

I revisori aziendali sgamano subito i report generati automaticamente. Se all'inizio del documento non ci sono un executive summary, il riferimento alla metodologia e la data di remediation delle vulnerabilità, il cliente non lo accetta. Non rischiate di perdere il cliente per andare al risparmio.

Richieda al suo cliente una copia scritta del capitolato tecnico. Nella maggior parte delle strutture enterprise i requisiti di sicurezza sono definiti tramite una checklist standard. Recuperare questo documento e inoltrarlo alle società a cui richiede il preventivo eviterà costi fuori perimetro.

Per chiarire il perimetro dovete fornire a queste società 3 parametri precisi: 1) Il numero di ruoli utente nel sistema (admin, rivenditore, utente standard). 2) Il numero di endpoint API esposti all'esterno. 3) Se il test verrà svolto in ambiente di produzione o su un server di staging identico.

Anche noi siamo un team di 18 persone a Valencia. Un cliente simile ha accettato un test che abbiamo fatto fare con un budget intorno ai 4.000 Euro. È durato 4 giorni, sono uscite 2 vulnerabilità di livello alto. Il nostro team le ha chiuse in 10 giorni e la società ha rilasciato il report di re-test gratuitamente. Il cliente ha firmato due giorni dopo.

Chi vi ha chiesto 8.500 Euro ha probabilmente inserito nel calderone tutta la vostra architettura cloud e la rete dell'ufficio. Perché mai dovreste far testare la rete della vostra sede dove i dati del cliente non risiedono? Il test deve limitarsi esclusivamente al flusso di dati coperto dal contratto commerciale.

Non fate assolutamente eseguire il test sul database di produzione. Allestite un ambiente di test identico alla produzione ma popolato con dati fittizi. Durante i test di sicurezza possono verificarsi blocchi del database o cancellazioni impreviste, non bloccate l'operatività reale.

state lontani da quelli che vi dicono finiamo in due giorni secondo me. lanciano direttamente uno scanner automatico e vi danno il pdf... il cliente enterprise se ne accorge subito e ve lo fa rifare da capo.

edit: ho scritto una cosa sbagliata sopra, scusate.

65.000 Euro all'anno è un ottimo contratto complimenti. 3.000-4.000 Euro sono un investimento in sicurezza del tutto normale per questa dimensione. comunque inoltre, una volta ottenuto il report, potrete usarlo come leva di fiducia anche con altri potenziali clienti corporate.

C'è anche un aspetto di misurazione. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Buon lavoro.

Esatto, e non è nemmeno così noto. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Il vero problema non è il numero ma su cosa si basa quel numero.

Mi chiedo anch'io.

Questo thread è archiviato.

Separiamo i concetti vengono confusi. I primi tre mesi vanno bene i problemi emergono al quarto mese.

Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

ottimo lavoro. cioè ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

sero che le sia utile.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Vorrei fare una domanda. Se rimproverate i falsi allarmi nessuno segnalerà più nulla.

Spero che le sia utile.

A me è successo l'esatto contrario, per questo scrivo. Cercare di farlo da soli è la strada più costosa.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Lascio una nota potrebbe servire.

Approfondisco l'aspetto tecnico. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.