Клиент хочет добавить в договор пункт об аудите безопасности, что это вообще значит?

Прежде чем садиться за стол переговоров, вам кровь из носу нужно прояснить 3 вещи: 1) Им нужно техническое сканирование уязвимостей или полноценный аудит под сертификацию? 2) Кто выбирает компанию-аудитора и кто оплачивает счета? 3) Если что-то найдут, сколько времени дается на фиксы и как это повлияет на сроки релиза? Не зафиксируете эти три пункта в договоре — процесс встанет намертво.

Сразу отказываться от договора не стоит, но формулировку нужно обязательно ограничить. Добавьте в текст фразу: «тестирование безопасности на уровне приложения в разумных пределах, согласованных с клиентом, но не чаще одного раза в год». И предложите, чтобы расходы на аудит за первый год взял на себя клиент либо пусть включат их в счет на 55.000 долларов. Корпоративные закупки обычно на такое соглашаются.

Мы были в похожей ситуации, когда подписывали контракт на 40.000 долларов с компанией из Нью-Йорка. Наняли стороннюю команду тестировщиков и провели обычный пентест API и админки методом серого ящика. Ушло 8 рабочих дней, отдали 4.200 долларов. Закрыли 2 средние уязвимости из отчета за 3 дня, показали клиенту — вопросов больше не возникло.

А какие данные вы будете хранить в системе? Там есть кредитные карты, медицинские данные или чувствительная инфа по персоналу — в общем то, что подпадает под жесткие регуляции? Если у вас только операционные данные по логистике и маршрутам, их отдел комплаенса может удовлетвориться даже стандартным опросником по безопасности. Вы пробовали отправлять им свой документ с описанием безопасности инфраструктуры?

у нас тоже такое было у корпоратов этот пункт просто зашит в сандартный шаблон договора. мы позвонили спросить они сами толком не знали чё хотят в итоге оказалось достаточно просто заполнить их внутренний опросник по безопасности и не спешите покупать дорогой внешний аудит сначала письменно запросите конкретные требования.

Многие тут советуют по-быстрому сделать дешевый пентест и забить, но все не так просто. Если в IT-отделе клиента сидят серьезные ребята, они будут смотреть и на формат отчета, и на аккредитацию компании-аудитора. Сунете им автоматический скан за 1.000 долларов, слепленный на коленке, — подорвете доверие к себе. Пытаясь сэкономить на скоупе, не угробьте свою деловую репутацию.

Пункт о праве на проведение аудита — стандартная практика для корпоративных договоров. Однако рамки этого права должны быть жестко очерчены. Рекомендую оформить дополнительное соглашение, где будет указано, что аудит проводится строго в рабочие часы, не нарушает текущие операционные процессы, выполняется независимой организацией под NDA, а все сопутствующие расходы заранее закладываются в бюджет.

а во время такого аудита нам придется отдавать исходный код клиенту или этим проверяющим? ну нет ли тут риска утечки нашей интеллектуальной собственности или систему тестируют исключительно снаружи?

верно но большинство инцидентов начинается не с уязвимости а с украденого пароля.

пииште если есть вопросы, отвечу по мере возможности.

Обсуждение размылось давайте структурируем. Непроверенная резервная копия — не резервная копия.

Проверено опытом.

Я сталкивался с тем же.

есть момент, который я не понял и то, что деелают все не значит, что это правильно.

на этом всё, извините если затянул.

Отличная работа. Доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

Если напишете результат здесь, это поможет и другим.

Появились три разных мнения, они дополняют друг друга. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Исправьте, если я ошибаюсь.

Согласен.

Верно.

Дешевый на вид путь обычно выходит дороже в итоге. Когда пытаешься изменить всё сразу, ничего не приживается.

Очень актуальная тема.