Hanno richiesto un pentest per una gara d'appalto: cos'è esattamente e quando ne vale la pena?

Controllate nel capitolato il tipo di test richiesto. Il black-box viene fatto senza fornire alcuna informazione sul sistema, mentre il grey-box prevede l'assegnazione di un account utente per analizzare l'interfaccia e i permessi. I comuni di solito richiedono il grey-box.

L'anno scorso a Madrid abbiamo pagato 5.200 EUR per un test su un progetto simile. Hanno trovato due falle critiche di privilege escalation nel codice scritto da noi: praticamente chiunque da fuori poteva visualizzare i documenti degli altri utenti. Abbiamo vinto la gara, ma soprattutto abbiamo evitato un potenziale scandalo di fuga dati.

Sul mercato ci sono soggetti che chiedono 1.500 EUR limitandosi a lanciare uno scanner open source automatico per poi infiorettare il report con l'intelligenza artificiale. Gli enti pubblici bocciano subito report così superficiali in sede di valutazione, sarebbero soldi buttati.

Quando chiedete i preventivi definite bene lo scope. Chiedete l'offerta solo per il modulo oggetto della gara e il relativo server. Se fate testare l'intera rete aziendale i costi schizzano alle stelle e prosciugate il budget inutilmente.

L'iter di solito si articola in tre fasi: 1) Definizione del perimetro e accordo contrattuale. 2) Simulazione dell'attacco e reportistica delle vulnerabilità. 3) Test di convalida dopo che avete risolto le falle. Le pubbliche amministrazioni vogliono vedere un report finale che attesti la chiusura delle criticità.

purtroppo se volete lavorare col settore pubblico questa è ormai diventata una procedura standard. onestamente vi consiglio di non vederla come una spesa una tantum ma come un costo di controllo qualità del prodotto.

Ma quando fanno questo test lavorano in ambiente di test o attaccano direttamente il server di produzione? C'è il rischio che durante il test il sistema vada giù o che i dati dei clienti si corrompano?

Capisco benissimo che all'inizio il budget sembri alto. Ma quando vendi software alla pubblica amministrazione, oltre alle referenze dei clienti, questo tipo di certificazioni di sicurezza imparziali ti dà una forza incredibile sul tavolo delle trattative non abbiate timore.

Secondo me è difficile essere così netti sul lato pentest cos'è. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Se permessi e ambito non sono scritti, quel test non deve iniziare.

Questo thread è archiviato.

Come avete risolto questo? Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Da noi la cosa che faceva perdere più tempo era non sapere chi decidesse.

Ottimo lavoro. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla. Lascio una nota, potrebbe servire.

Dopo aver vissuto questa cosa, il mio punto di vista è cambiato. Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Buon lavoro.

Corretto.

Sono nella stessa situazione, per questo chiedo. Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Se scrivete qui il risultato, sarà utile anche ad altri.

sono della stessa opinione. ogni punto non scritto è un punto che in futuro le due parti ricrderanno diversamente.

se permessi e ambito non sono scritti quel test non deve iniziare e cioè lascio una nota, potrebbe servire.

A me è successo l'esatto contrario, per questo scrivo. onestamente se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Più è difficile tornare indietro su una decisione più lentamente dovreste prenderla. Confermato dall'esperienza.

Argomento molto attuale.