Делать ли пентест, когда и в каком объеме?

Как директор по информационной безопасности, хочу добавить пару моментов по подготовке со стороны заказчика.

Во-первых, письменное разрешение до начала теста. Вмешательство в систему вне скоупа создает проблемы и технические, и юридические. Окно тестирования, канал связи и процедура экстренной остановки должны быть зафиксированы письменно.

Во-вторых, время проведения теста. Тест в период пиковой нагрузки несет риск реального сбоя. Заранее согласуйте это с бизнес-подразделениями.

В-третьих и самое главное: не делайте тест, если не выделили ресурсы на устранение найденного. Ждать с отчетом о незакрытых уязвимостях хуже, чем вообще не тестировать. При защите бюджета закладывайте в смету не только стоимость теста, но и трудозатраты на исправление.

Совет от команды мониторинга: во время теста оцените и свою способность обнаруживать вторжения.

Заметил ли ваш мониторинг попытки тестера проникнуть в систему, как быстро, кому пришло оповещение? Эта информация иногда ценнее списка уязвимостей из отчета.

Практичный способ: попросите у тестера список его действий с временными метками. Затем сверьте со своими логами. Так вы точно поймете, какие шаги вы не увидели.

Хочу затронуть и сторону защиты данных, так как этот этап часто пропускают.

Во время теста может потребоваться обработка персональных данных. Использование реальных данных в тестовой среде, копирование данных из продакшена, добавление скриншотов в отчет — все это нужно оценивать отдельно.

Рекомендую включить в договор с тестовой компанией отдельные пункты о конфиденциальности и обработке данных, а также использовать маскированные данные, где это возможно. Сроки хранения и уничтожения отчета тоже должны быть прописаны.

Вопрос: сколько человеко-дней указано в предложении на «полный тест»?

Причина проста: эта работа измеряется временем. Результаты теста за 5 дней и за 15 дней будут разными, и большая часть разницы в цене кроется именно здесь. Предложения без указания человеко-дней нельзя сравнивать.

Спасибо, сделаю из этой темы приложение к своей бюджетной презентации.

Когда я задал вопрос про человеко-дни, два из трех предложений пересмотрели, одно не ответило. Теперь таблица сравнения стала реально сравнимой.

И предупреждение Явуза Бей про «закладывайте трудозатраты на исправление» я сразу внес в презентацию. В прошлый раз мы именно на этом и споткнулись.

у этого поддхода есть цена, о которой молчат и ошибка сделанная на стороне тест на проникновение обычно исправима, но дорого.

это мое мнение, не утверждаю, что оно единственно верное.

Именно так, и при этом об этом мало кто знает. При принятии решений записывайте и худший сценарий, а не только лучший.

Надеюсь, это будет полезно.

Не знал об этом. То, что делают все, не значит, что это правильно.

Проверено опытом.

В прошлом году мы столкнулись практически с тем же самым. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Удачи.

Прочитал этот ответ и выдохнул: значит проблема не только у меня. в общем ошибка, сделанная на стороне тест на проникновение, обычно исправима но дорого.

Интересно, есть ли те кто делает иначе.

Сведу тему в кучу, так как ответов было несколько разных. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Ошибка, сделанная на стороне тест на проникновение, обычно исправима, но дорого. Удачи.

Большое спасибо, сегодня попробую. Процесс по которому не ведется учет не улучшается, потому что вы не знаете что именно улучшать.

Это мое мнение, не утверждаю, что оно единственно верное.

Согласен, хочу даже особо подчеркнуть. Если путь уведомления длинный уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.

Ответ сильно зависит от отрасли универсального правила нет. Конечно если ваша ситуация отличается, всё меняется.

Прочитал этот ответ и выдохнул: значит проблема не только у меня. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

Главное не цифра а то на основе чего она получена. Проверено опытом.

если подйете этим путем сразу решите вот этот вопрос. пытаться сделать это в одиночку — самый дорогой путь.

интересно есть ли те, кто делает иначе.

если углубиться в детали: Больше всего времени у нас уходило на то что было непонятно кто принимает решения.

надеюсь, это будет полезно.

Если углубиться в детали: Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Пытаться сделать это в одиночку — самый дорогой путь. Надеюсь это будет полезно.

Я столкнулся с тем же два года назад. Если путь уведомления длинный, уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент.