Ci hanno chiesto un "test di sicurezza" — cosa viene fatto esattamente e cosa si aspettano da noi?

Mandate subito un'email al team di sicurezza del cliente chiedendo la metodologia di test standard che accettano e il modello per il perimetro di test. Se fate fare il test a modo vostro rischiano di respingere il report per via del formato non conforme.

Di solito fanno un test 'Gray Box', cioè a scatola grigia. Non vi chiedono il codice sorgente ma vogliono username e password. L'obiettivo è verificare se un normale operatore di magazzino riesce a scalare i privilegi per accedere a funzioni da amministratore.

L'anno scorso abbiamo fatto fare un test per un nostro prodotto SaaS di dimensioni simili. Il test è durato 5 giorni lavorativi, hanno trovato 1 falla critica e 3 medie. Il nostro team di sviluppo ha impiegato circa 25 ore di lavoro per i fix. Dopo aver consegnato il report pulito al cliente, il contratto è stato firmato senza problemi.

Nel contratto del cliente è indicato che il report deve essere redatto da un ente indipendente, ma hanno imposto l'approvazione TSE o specifiche certificazioni internazionali per la società di test? Se non ci fate attenzione, il report potrebbe essere considerato non valido.

Elementi da tenere pronti prima di iniziare il test: 1) Documentazione API o output di Swagger, 2) Indirizzi di accesso all'ambiente di test e credenziali utente, 3) Numero di telefono del referente tecnico in grado di bloccare il test in caso di emergenza.

quando tirate su l'ambiente di test azzerate assolutamente i veri nomi e telefoni dei clienti in produzione... caricate dati anonimi nell'ambiente di test così poi quei dati non finiscono pure nel report con tanto di screenshot.

Benvenuti al rito di iniziazione con i clienti enterprise. boh dopo il security test toccherà al questionario di valutazione del rischio terze parti da 80 punti preparatevi subito un altro caffè.

Questo approccio ha un costo, di cui non si parla. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

È tutto, scusate se mi sono dilungato.

Sì, per quanto riguarda cos'è un test di sicurezza la situazione è esattamente così. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Ha ragione.

La strada che sembra economica di solito finisce per costare cara. Più è difficile tornare indietro su una decisione, più lentamente dovreste prenderla.

Questa è la mia opinione, non la scrivo come verità assoluta.

Salvato.

Sono d'accordo. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Correggetemi se sbaglio.

Il mio dubbio è stato chiarito, grazie.

questo consiglio non va bene per tutti secondo me poi comunque il vero problema non è il numero, ma su cosa si basa quel numero.

buon lavoro.

Hai fatto bene ad aprire questo thread.

C'è anche un aspetto di misurazione. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se rimproverate i falsi allarmi, nessuno segnalerà più nulla. Lascio una nota, potrebbe servire.

Questo thread è archiviato.