Ci hanno detto "fate un web pentest" — di cosa si tratta esattamente, serve davvero per il nostro sito?

quando si lavora con grandi clienti corporate purtroppo spuntano sempre questi blocchi burocratici standard... non è il buyer a cui interessano i mobili a volerlo, ma il responsabile IT aziendale che impone la checklist. se volte prendere il lavoro non resta molta scelta se non procurarsi questo report.

correzione: mi ricordavo male il numero, era un po' più basso.

Il mese scorso abbiamo avuto una richiesta simile per il nostro sito vetrina di 8 pagine. La prima offerta ricevuta era di 30.000 TL. Abbiamo limitato il perimetro a un unico dominio e ai soli form statici: per due giorni di lavoro abbiamo pagato una fattura da 12.000 TL, consegnato il report e il lavoro è stato approvato.

Pagare 25.000 TL di pentest per un sito statico senza pagamenti sono soldi buttati. Mandate una comunicazione ufficiale all'ufficio acquisti dell'hotel spiegando che sul sito non ci sono database né registrazioni utenti ma solo un form di contatto, magari vi concedono un'esenzione.

A grandi linee l'iter è questo: 1) Fornite alla ditta di sicurezza l'indirizzo e la struttura del sito. 2) I tecnici lanciano attacchi simulati. 3) Vulnerabilità trovate e soluzioni consigliate finiscono nel report. 4) Il vostro hosting sistema le falle e il report finale di verifica viene inoltrato al cliente.

Chiedete assolutamente all'azienda che fa il preventivo entro quanti giorni consegnano il report e se la seconda verifica dopo aver chiuso le falle è inclusa nel prezzo. Certe ditte chiedono un extra per il re-test.

se sul sito c'è solo il modulo contatti toglietelo e mettete solo la mail, sentite il cliente se così potete evitare il costo del pentest.

Se il margine della commessa con l'hotel copre ampiamente il costo del test, fatelo senza tirarla troppo per le lunghe. Nelle grandi aziende difficilmente fanno eccezioni sulle procedure di sicurezza: se fate troppe storie rischiano di passare al fornitore successivo.

C'è un errore comune che si commette facendo questo. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Prendere misure senza fare un inventario lascia aperta una porta che non vedi. Se scrivete qui il risultato, sarà utile anche ad altri.

Hai fatto bene ad aprire questo thread.

C'è anche un aspetto di misurazione. Quando prendi una decisione guarda prima quali dati hai a disposizione.

Confermato dall'esperienza.

Nel nostro caso è andata così. onestamente il vero problema non è il numero, ma su cosa si basa quel numero.

Io seguirei questa strada.

Può approfondire un po'? I primi tre mesi vanno bene, i problemi emergono al quarto mese.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione. Correggetemi se sbaglio.

Mi farebbe piacere se scrivesse il risultato.

Avrei una domanda, non vorrei deviare dall'argomento, ma... Se cerchi di cambiare tutto insieme, niente si stabilizza.

A me è successo l'esatto contrario, per questo scrivo. Prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

È tutto, scusate se mi sono dilungato.

Direi di non avere fretta. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Nel nostro caso è andata così. Un backup non testato non è un backup.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Avete ragione sono passato anch'io per la stessa strada. Se permessi e ambito non sono scritti, quel test non deve iniziare.

Sono curioso di sapere se qualcuno lo fa in modo diverso.