Mi hanno chiesto un "pentest / penetration test": cosa significa, serve davvero a una piccola impresa come la nostra?

Con un contratto annuale da 1.800.000 TL sul piatto, non considerare un pentest da 35.000 TL come una spesa a vuoto. I team di audit dei grandi clienti non firmano mai senza quel report. Se non lo fai, si alzano dal tavolo e l'accordo va dritto a un concorrente che rispetta questo requisito.

Quando chiedete i preventivi definite bene il perimetro (scope). Per abbassare il prezzo inserite solo il dominio del portale web usato dai rivenditori e gli endpoint delle API; lasciate fuori la rete dell'ufficio o i server di posta aziendali. Il test va assolutamente fatto con approccio "gray box", fornendo loro un account utente rivenditore.

L'anno scorso per poter lavorare con una catena di supermercati abbiamo speso 40.000 TL per farlo fare. Durante il test è saltato fuori che sul nostro portale un rivenditore poteva scaricare lo storico ordini di un altro cambiando un solo parametro. Meno male che l'abbiamo fatto: il danno d'immagine commerciale coi clienti per un eventuale data breach sarebbe stato infinitamente superiore a quella cifra.

Cose da verificare quando si chiude con l'azienda: 1) Fate mettere a contratto che lo specialista assegnato possieda certificazioni di cybersecurity valide (TSE o equivalenti internazionali). 2) Chiedete che i test vengano eseguiti fuori orario di lavoro o su un server di staging per non bloccare il database. 3) Confermate che il re-test dopo la chiusura delle falle sia incluso nel prezzo.

Sul mercato ci sono un sacco di aziende che lanciano un tool automatico e ti rifilano come report 15 pagine di output in inglese. Se spendi 35.000 TL solo per farti dare la scansione di un tool standard, il team di sicurezza del cliente te lo boccia all'istante. Chiedete chiaramente all'azienda quante ore di test manuali sulla logica applicativa sono incluse nel preventivo.

non mandare assolutamente il primo report al cliente poi nel primo saltano fuori di sicuro falle critiche segnate in rosso... prima il tuo programmatore le sistema, poi l'azienda di sicurezza fa il re-test e solo quando ti danno l'ok mandi al cliente il summary pulito.

La richiesta di audit di sicurezza indipendenti per la qualifica dei fornitori da parte delle grandi aziende è obbligatoria ai sensi del KVKK e degli standard di gestione della sicurezza delle informazioni. Il costo del test richiesto rappresenta una garanzia operativa del tutto ragionevole a fronte delle potenziali sanzioni amministrative e dei risarcimenti civili derivanti da un eventuale data breach.

Mettete per iscritto il perimetro con l'azienda da 35.000 TL e firmate il contratto includendo il re-test. Subito dopo inviate una comunicazione formale al cliente dicendo: "Il penetration test è stato pianificato e il report vi sarà trasmesso entro 10 giorni". Così la tabella di marcia del contratto lato cliente non subirà rallentamenti.

Sono una piccola impresa vi parlo dal mio punto di vista. onestamente la sicurezza non è assoluta; significa rendere l'attacco non conveniente.

Ottimo lavoro.

C'è una trappola qui, non posso non segnalarla. Non fidatevi di una sola misura di sicurezza; procedete per livelli.

Dopo aver vissuto questa cosa il mio punto di vista è cambiato. insomma il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

L'errore commesso da cos'è un pentest penetration test è generalmente reversibile ma costoso.

Direi di non avere fretta. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Correggetemi se sbaglio.

Avete ragione, sono passato anch'io per la stessa strada. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. L'errore commesso da cos'è un pentest penetration test è generalmente reversibile ma costoso.

La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

sono della stessa opinione. se non lo rendte scritto fin dall'inizio, poi nascono discussioni.

naturalmente cambia se la vostra situazione è diversa.

Mi farebbe piacere se scrivesse il risultato. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

esatto e non è nemmeno così noto e il fatto che tutti facciano una cosa non significa che sia quuella giusta.