Ci hanno chiesto di fare un penetration test: spiegatemelo chiaramente, è davvero necessario?

Immaginatela così: la scansione automatica è come un addetto che controlla il modello delle serrature di un palazzo per vedere se hanno difetti di fabbrica noti. Il penetration test è un professionista che si comporta da ladro: prova a forzare le finestre, testa le uscite di sicurezza e tenta di entrare nell'edificio. I clienti enterprise vogliono la certezza che le porte non si aprano davvero.

L'anno scorso abbiamo speso 4.500 dollari per farlo in occasione di un contratto B2B simile. All'inizio sembrava una spesa inutile, ma il report ha rivelato una vulnerabilità critica che permetteva l'accesso non autorizzato al database clienti. Grazie all'executive summary fornito al cliente abbiamo chiuso un contratto da 60.000 dollari senza intoppi: l'investimento si è ripagato ampiamente.

Andate subito dal vostro cliente e chiedetegli: 'Avete aspettative specifiche su uno standard o una portata per il report?' A volte i clienti vogliono solo una scansione dell'IP esterno, altre volte si aspettano un test completo dell'applicazione. Se riuscite a restringere la portata, la fattura da 8.000 dollari può scendere fino a 3.000.

Sul mercato ci sono tanti che fanno girare uno strumento automatico da 1.000 dollari e vendono un report complicato di 80 pagine come 'penetration test'. I team di sicurezza informatica aziendali riconoscono questi falsi report al primo sguardo e perdete completamente la loro fiducia. Il servizio che ricevete deve assolutamente includere una verifica manuale.

È la regola d'oro del mondo aziendale: amano scaricare i propri rischi su piccoli fornitori. Se ora non pagate 4.000 dollari per ottenere il report, danno il contratto a un altro fornitore, e poi non controllano mai la sicurezza di quel fornitore. Purtroppo dovete giocare a questo gioco secondo le regole.

anche noi ci eravamo fatti prendere dal panico la prima volta che ce l'hanno chiesto e insomma a quanto pare la compagnia assicurativa del cliente lo imponeva. abbiamo chiarito la portata e ci siamo accordati con una piccola azienda in tre giorni hanno finito il test e consegnato il report riassuntivo e il contratto è stato firmato.

Non spaventatevi non fanno nulla che possa far crollare il vostro sistema... Prima di iniziare il test si firma un protocollo di riservatezza e autorizzazione, lavorano in un ambiente di test o in orari controllati... Se volete far crescere la vostra azienda, purtroppo queste tappe aziendali diventano inevitabili.

Il vostro cliente vuole il test direttamente in ambiente di produzione o allestirete un server di test? Inoltre, avete dati sensibili dei clienti nel vostro database? Senza chiarire la portata è molto difficile confrontare le offerte che arrivano dalle aziende.

Grazie mille, era la risposta che cercavo.

Sono una piccola impresa, vi parlo dal mio punto di vista. Le persone difendono le abitudini non i processi. La resistenza nasce da lì.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Per un periodo ci siamo bloccati anche noi nello stesso punto. Cambiare le abitudini è più difficile e costoso che impostare il sistema.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi. Se scrivete qui il risultato, sarà utile anche ad altri.

Se non ho capito male stai dicendo che: Le soluzioni che funzionano su piccola scala crollano quando si cresce l'ho imparato tardi.

il mio dubbio è stato chiarito grazie. non firmate nessun accordo senza un piano di uscita.

spero che le sia utile.

Ti seguo.

Avete ragione sono passato anch'io per la stessa strada. Non abbiate paura di chiedere, chi non chiede paga sempre di più.

Calcolatelo sul costo annuo totale non sulla fattura mensile. Questa è la mia opinione, non la scrivo come verità assoluta.

Ho vissuto la stessa cosa due anni fa. Prima misura poi segmenta. Se segui questo ordine le discussioni finiscono.

Spero che le sia utile.

Grazie mille, proverò oggi.

L'anno scorso abbiamo vissuto quasi la stessa cosa. L'errore commesso da cos'è il penetration test è generalmente reversibile ma costoso.

È tutto, scusate se mi sono dilungato.