Нам сказали пройти пентест — объясните по-человечески, он правда так нужен?

Представьте так: автоматический скан — это охранник, который прошел вдоль здания и глянул на марки дверных замков. А пентест — это профессиональный взломщик, который дергает ручки, лезет в форточку и тестирует пожарную лестницу. Корпоратам нужно знать, откроется ли дверь на практике.

Мы под аналогичный B2B-контракт в прошлом году отдали 4.500 долларов. Сначала душила жаба, но по итогу нашли критическую уязвимость, через которую можно было слить клиентскую базу. Зато показали executive summary заказчику и без проблем закрыли сделку на 60.000 долларов. Всё окупилось с лихвой.

Сразу идите к клиенту и задайте вопрос: «Есть ли у вас конкретный стандарт или ожидания по объёму отчёта?» Иногда клиентам нужен только скан внешнего IP, а иногда — полноценное тестирование приложения. Если удастся сузить объём, выставленный счёт на 8 000 долларов может упасть до 3 000.

На рынке полно контор, которые запускают автоматический сканер за 1 000 долларов и продают запутанный отчёт на 80 страниц как «пентест». Такие фейковые отчёты корпоративные службы информационной безопасности раскусят с первого взгляда, и вы полностью потеряете их доверие. В услуге, которую вы берёте, обязательно должна быть ручная проверка.

Это золотое правило корпоративного мира: они обожают перекладывать свои риски на мелких поставщиков. Если вы сейчас не заплатите 4 000 долларов и не получите отчёт, контракт отдадут другому поставщику, а безопасность того поставщика вообще никто проверять не станет. Увы, приходится играть в эту игру по их правилам.

мы тоже сначала запаниковали когда они попросили. оказалось, страховая компания клиента обязала. кстати уточнили объём, договорились с небольшой фирмой за три дня сделали тест, дали краткий отчёт — и контракт подписан.

Не пугайтесь они не делают ничего, что обрушит вашу систему. Перед началом теста подписывается протокол о конфиденциальности и полномочиях, работают в тестовой среде или в согласованные часы... Если хотите развивать бизнес такие корпоративные этапы увы становятся неизбежными.

Ваш клиент хочет тест прямо на боевой среде или вы поднимете тестовый сервер? И ещё: есть ли в вашей базе данных чувствительные данные клиентов? Без чёткого понимания объёма сравнивать предложения от компаний очень сложно.

Спасибо, это именно то, что я искал.

Я маленький бизнес расскажу со своей стороны. Люди защищают не процесс, а привычку. Сопротивление идет оттуда.

Интересно есть ли те, кто делает иначе.

Мы тоже какое-то время назад застряли на том же месте. Изменить привычку сложнее и дороже, чем выстроить систему.

Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы. Если напишете результат здесь, это поможет и другим.

Если я правильно понял вы имеете в виду следующее: Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

мои сомнения развеялись, спасибо но не вступайте ни в какие сделки без пална выхода.

надеюсь, это будет полезно.

Слежу за темой.

Вы правы я сам проходил через это. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Считайте по годовой общей стоимости, а не по ежемесячному счету. Это мое мнение не утверждаю, что оно единственно верное.

Я столкнулся с тем же два года назад. Сначала измерьте, потом сегментируйте. При таком порядке споры прекращаются.

Надеюсь, это будет полезно.

Большое спасибо, сегодня попробую.

В прошлом году мы столкнулись практически с тем же самым. Ошибка, сделанная на стороне что такое пентест, обычно исправима, но дорого.

На этом всё, извините, если затянул.