Какие документы требовать при выборе фирмы для пентеста — обязательна ли лицензия?

Смотрите не столько на документы фирмы, сколько на технические сертификаты специалиста, который будет делать тест, полученные на практическом экзамене. Сертификаты по теоретическим экзаменам легко получить с банками вопросов в интернете. Отчёты инженеров с техническими сертификатами, где компетентность доказывается взломом машины в лабораторных условиях за 24 часа, на аудитах никогда не становятся предметом споров.

Два года назад мы заказали тест у команды без документов с бюджетом 20 000 TL. В отчёте, который прошёл аудит, были только номера версий серверов. На аудите у крупного корпоративного клиента этот отчёт просто отклонили. После этого нам пришлось заплатить 70 000 TL фирме, одобренной TSE, и заказать тест с нуля.

Собирая коммерческие предложения, отправляйте компаниям стандартный опросник квалификации. До подписания договора запросите три документа: 1) Резюме специалистов, проводящих тест, с номерами их сертификатов, 2) Обезличенный пример реального отчета, 3) Копию полиса страхования профессиональной ответственности, если есть. Кто не может это предоставить — сразу отсеивайте.

Сертификат TSE выдается на компанию а тест они могут поручить инженеру-стажеру. На рынке полно контор, которые прикрываются вывеской TSE, а сами просто запускают автоматический сканер. Важнее печати компании — прописать в договоре конкретного человека, который будет проводить атаки на ваши IP-адреса.

Стандарт ISO 27001 требует проведения независимой технической оценки, однако наличия сертификата от конкретного госоргана не предписывает. Тем не менее, для подтверждения соблюдения технических мер в рамках руководства KVKK по безопасности данных, наличие у провайдера статуса юрлица и подтвержденной компетенции станет весомым аргументом в пользу вашей компании при аудите.

сертификат сам по себе ничего не значит народ. главное работать с оытными людьми которые не положат прод. обязательно требуйте пункт о профстраховке в договоре.

А если наш сеньор-разраб прогонит систему через опенсорсные утилиты безопасности и сделает отчет, такое прокатит на сертификационном аудите ISO 27001?

Тот, кто просит 25.000 TL два дня погоняет опенсорсный автосканер и выкатит вам 80 страниц отчета на английском. Тот, кто хочет 85.000 TL, сделает то же самое просто прилепит на титульник логотип TSE. Вся разница лишь в том, что от первого аудитор поморщится.

У нас так же.

Я маленький бизнес, расскажу со своей стороны. Забытые тестовые среды становятся входом в систему чаще, чем продакшн.

Я бы пошел этим путем.

Извините, но это верно не во всех случаях. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Оставлю как заметку, пригодится.

У меня будет вопрос, не хочу уходить от темы, но... Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Оставлю как заметку, пригодится.

Верно.

Вы правы, я сам проходил через это. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Меры принятые без инвентаризации оставляют открытыми двери, о которых вы не знаете. Если напишете результат здесь, это поможет и другим.

эта тема в архиве.

обсуждение размылось давайте структурируем. большая часть птерь времени копится на задачах ожидающих согласования.

интересно есть ли те, кто делает иначе.

После того случая мой взгляд на вещи изменился. короче большая часть потерь времени копится на задачах ожидающих согласования.

На этом всё, извините если затянул.

Краткое резюме для новичков: Изменение платежных данных никогда не подтверждается через тот же канал.