Аудит безопасности мобильного приложения: как при приемке убедиться, что разработчик защитил данные?

Медицинские данные в Германии подпадают под 9-ю статью DSGVO как данные особой категории. Аргумент «у нас есть SSL» — это как сказать «на входной двери в подъезд есть замок, но в квартиры двери нараспашку». Без независимого отчета финальный транш ни в коем случае не отдавайте.

Была похожая история с медсервисом, разрабы тоже божились, что все идеально. Мы наняли спеца со стороны за 2.500 EUR на двухдневный тест API. В итоге выяснилось: меняешь в параметре ID пациента — и выкачиваешь вообще всю историю приемов. Этот тест спас нас от потенциальных штрафов на сотни тысяч евро.

А у вас в договоре прописан пункт о процедуре приемки (Abnahme)? В немецких контрактах обычно закладывают от 14 до 30 дней на проверку после сдачи. Если этот пункт есть, проводите независимый аудит прямо в этот срок и направляйте им официальные рекламации на доработку.

Обязательно спросите, реализован ли certificate pinning в мобильном клиенте. И отдельно попросите проверить серверные токены авторизации (JWT): какой у них срок жизни и отзываются ли они на сервере при логауте. На этом чаще всего и прокалываются.

Даже если вы не технарь, можно самому закинуть установочный файл приложения в любой опенсорсный сканер мобильной безопасности. За 15 минут получите отчет, где сразу вылезут банальные косяки вроде забытых в коде паролей от базы или API-ключей.

Не ведитесь если агентство сунет вам типовую PDF-ку на 40 страниц из автоматического сканера со словами «вот отчет по безопасности». Автоматика не видит косяков в бизнес-логике и правах доступа. Нужен отчет с подписью живого спеца, который крутил все руками.

если в договоре безопасность четко не прописали щас давить будет сложнее но давите на требования закона по медданным но говорите без независимого аудита в прод не выйдем нкиуда не денутся помогут.

опасения абсолютно оправданные... короче разрабы обычно смотрят чисто на то, кликается ли кнопка и открываеттся ли экран, а изоляцию данных на бэке оставляют на потом... перестрахуйтесь: лучше отложить релиз на пару недель зато спать будете спокойно.

У меня та же ситуация, поэтому и спрашиваю. Непроверенная резервная копия — не резервная копия.

У меня есть возражение. Любой пункт, не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

Пишите, если есть вопросы, отвечу по мере возможности.

У меня было наоборот, поэтому и пишу. Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Это мое мнение, не утверждаю, что оно единственно верное.

Хорошо, что вы создали эту тему.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня. Любой пункт не зафиксированный письменно в будущем обе стороны будут помнить по-разному.

На этом всё извините если затянул.

Согласен, хочу даже особо подчеркнуть. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Оставлю как заметку, пригодится.

Вы правы.

Спасибо, это именно то, что я искал.

вы правы я сам проходил через это. время обнаружения проблемы нпрямую определяет ее стоимость.

процесс, по которому не ведетя учет не улучшается потому что вы не знаете что именно улучшать.

Я тоже об этом думал. Если делаете впервые, начните с малого, масштабирование потом.

Пишите, если есть вопросы, отвечу по мере возможности.