Il penetration test chiede di risolvere tutto in 30 giorni: i tempi standard di remediation sono realistici?

Almeno la metà delle criticità medie nel report sarà roba tipo header HTTP mancanti, cifrari deboli o versioni dei software esposte. Si sistemano tutte insieme in mezza giornata senza toccare il codice, modificando semplicemente i file di configurazione sul server o sul reverse proxy.

Chiamate subito la società di pentest. Ditegli: "Data la nostra capacità di sviluppo, chiudiamo prima i critici e gli alti per verificarli subito, e chiediamo una proroga per i medi". Di solito estendere a 60 giorni non è un problema.

Le tempistiche di remediation generalmente accettate nel settore sono: 1) Critiche entro 7-14 giorni max, 2) Alte entro 30 giorni max, 3) Medie entro 60-90 giorni, 4) Basse entro 180 giorni o durante la regolare manutenzione.

edit: ho corretto alcuni errori di battitura.

Le società di sicurezza fanno pressione con la storia dei 30 giorni solo per chiudere la pratica in fretta e non sballare le loro scadenze interne. Nessun cliente B2B vi cancella il contratto per una vulnerabilità media se gli presentate un piano sensato, non fate codice a caso presi dal panico.

se caricate 28 task su un unico dev salta la roadmap di prodotto e le patch fatte di fretta apriranno nuovi bug. insomma fategli fare solo le 3 critiche e basta.

Due anni fa, dopo un report simile abbiamo bloccato il nostro unico sviluppatore per tre settimane solo sul pentest. Risultato: le feature per i clienti sono slittate di un mese e la cassa ne ha risentito pesantemente. Poi abbiamo scoperto che 15 vulnerabilità medie si potevano mitigare semplicemente blindando la rete interna. La priorità deve essere sempre l'equilibrio tra il fatturato e il rischio effettivo di attacco.

Vi consiglio di predisporre un Piano di Remediation da condividere con il cliente. Specificare nel documento le date stimate di risoluzione per i rilievi critici e alti, unitamente alle misure di mitigazione temporanee per quelli medi, risulterà pienamente soddisfacente ai fini della compliance aziendale.

Risolvete subito i tre punti critici e mandate al cliente una roadmap a tre mesi per il resto.

La risposta sopra ha colto l'essenza della questione. Se non lo rendete scritto fin dall'inizio, poi nascono discussioni.

grazie mille proverò oggi.

Mi chiedo anch'io.

Grazie mille, proverò oggi. Chiunque abbia fretta su tempi di remediation vulnerabilità si blocca nello stesso punto.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Correggetemi se sbaglio.

Se volete procedere così, risolvete questo punto fin dall'inizio. L'errore commesso da tempi di remediation vulnerabilità è generalmente reversibile ma costoso.

C'è anche un aspetto di misurazione. Inizia con un piccolo test, non impegnarti subito su tutto.

Io seguirei questa strada.

A me è successo l'esatto contrario, per questo scrivo. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi. Correggetemi se sbaglio.

Salvato.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Le soluzioni che funzionano su piccola scala crollano quando si cresce, l'ho imparato tardi.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Scrivo questo per evitare che facciate lo stesso errore. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

È tutto scusate se mi sono dilungato.