Stanno cercando di venderci un "servizio di pentest": cos'è, serve davvero per la nostra dimensione?

Non fatevi prendere dal panico con le solite tattiche dei commerciali. Il pentest è sicuramente un'attività utile, ma la maggior parte delle aziende che usa toni del tipo "se non comprate subito fallite" fa lavori scadenti. Prima definite voi di cosa avete bisogno, non fatevi imporre i loro pacchetti.

Bisogna distinguere bene tra scansione automatica delle vulnerabilità e penetration test. Il tool automatico cerca falle note ma non coglie gli errori di logica. Per esempio, l'accesso alla fattura di un altro utente cambiando il codice ordine da 105 a 106 lo individua solo un esperto con test manuali.

L'anno scorso abbiamo speso 40.000 TL per un pannello ordini simile al vostro. Dal test sono emerse 2 falle critiche di autorizzazione. Il nostro sviluppatore le ha sistemate in due giorni. Se ci avessero beccato con quelle falle, i rivenditori concorrenti avrebbero potuto scaricarsi i listini prezzi riservati a vicenda: soldi assolutamente ben spesi.

avevano mandato una mail simile pure a noi, nn abbiamo accettato e abbiamo fatto fare una scansione base al nostro sviluppatore con tool open source x ora regge ma ovvio ke con il budget farlo fare a esperti è tutta n'altra cosa.

Controllate le referenze dell'azienda che vi ha chiesto 60.000 TL. Molte agenzie si limitano a lanciare per due ore dei tool gratuiti scaricati da internet e vi sfornano un report generico da 80 pagine. Se nel report non c'è un'analisi concreta del codice del vostro sito o dei flussi di lavoro, sono soldi buttati.

Quando valutate l'offerta, chiarite questi tre aspetti: 1) Il test verrà eseguito con approccio grey box, ovvero fornendo degli account utente di test? 2) C'è il rischio di disservizi o downtime del sito durante i test? 3) Il report finale ha valore di documento di audit indipendente valido ai fini del Türk Ticaret Kanunu o dei processi KVKK?

Non firmate subito il contratto. Chiedete un incontro per definire il perimetro (scoping) ad almeno altre due aziende di sicurezza informatica. Fornite due account rivenditore di test e chiedete un preventivo solo per il pannello B2B, escludendo per ora l'infrastruttura del server.

Posso fare una domanda? cioè durante questo test il nostro sistema degli ordini deve rimanere chiuso per un po' o i rivenditori possono continuare a inserire ordini normalmente?

Ho vissuto la stessa cosa. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Se scrivete qui il risultato, sarà utile anche ad altri.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Se scrivete qui il risultato, sarà utile anche ad altri.

Se non ho capito male, stai dicendo che: Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se scrivete qui il risultato, sarà utile anche ad altri.

Il punto più trascurato riguardo a cos'è il servizio di pentest è questo: Il vero problema non è il numero, ma su cosa si basa quel numero.

Se avete domande, scrivete, rispondo per quanto possibile.

Può approfondire un po'? Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live. Io seguirei questa strada.

Grazie per averlo scritto è proprio così... insomma le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

L'anno scorso abbiamo vissuto quasi la stessa cosa. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Spero che le sia utile.

Lascio un avvertimento. Quando decidiamo senza misurare finiamo sempre nello stesso punto.

Io seguirei questa strada.

Ti seguo.

La mia domanda sarà un po' da principiante, scusate. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se cerchi di cambiare tutto insieme, niente si stabilizza.