Говорят, нужен «пентест / тест на проникновение» — что это вообще и реально ли нужно такой небольшой компании, как наша?

Когда на кону контракт на 1 800 000 TL в год, 35 000 TL за пентест — вообще не деньги. Без этого отчета СБ крупняка договор просто не пропустит. Не сделаете — они уйдут к конкурентам, у которых этот документ есть.

При запросе КП четко зафиксируйте объем (scope). Чтобы сбить цену, включите туда только домен портала для дилеров и эндпоинты API, а офисную сеть и почтовые сервера вынесите за рамки. Тестировать нужно обязательно методологией «серого ящика» (gray box), выдав аккаунт дилера.

Мы в прошлом году отдавали 40 000 TL ради контракта с сетевым ритейлером. На тестах всплыло, что один дилер мог скачивать историю заказов другого, просто поменяв один параметр. В итоге слава богу, что сделали: при реальной утечке мы бы на репутации потеряли в разы больше.

На что смотреть при выборе исполнителя: 1) Пропишите в договоре сертификаты специалиста (TSE или международные аналоги). 2) Проводите тесты во внерабочее время или на стейджинге, чтобы не положить базу. 3) Проверьте, что повторный тест (re-test) уже включен в стоимость.

На рынке полно контор, которые прогоняют софт и отдают 15 страниц автоотчета на английском. Заплатите 35 000 TL за такое — СБ клиента развернет его с порога. Сразу спрашивайте, сколько часов выделяется именно под ручное тестирование бизнес-логики.

первый первичный отчет клиенту ни в коем случае не кидайте. там гарантированно будут красные критические уязвимости потом сначала порграммист все латает, потом безопасность перепроверяет, и только итоговый чистый отчетик отдаете заказчику.

Крупные компании требуют независимый аудит из-за норм KVKK и стандартов информационной безопасности. На фоне возможных штрафов от регуляторов и исков за утечку данных стоимость пентеста — это вполне адекватная плата за спокойствие.

Отправляйте ТЗ компании за 35 000 TL, прописывайте ретест в договор и подписывайте. А клиенту сразу направьте официальное письмо: «Пентест запущен, отчет предоставим в течение 10 дней». Так вы не сорвете сроки по сделке.

Я маленький бизнес расскажу со своей стороны. Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

Отличная работа.

Здесь есть ловушка, не могу промолчать. Не полагайтесь на одну меру защиты; действуйте слоями.

После того случая мой взгляд на вещи изменился. честно время обнаружения проблемы напрямую определяет ее стоимость.

Ошибка, сделанная на стороне пентест тест на проникновение что это обычно исправима, но дорого.

Я бы не торопился. При принятии решений записывайте и худший сценарий, а не только лучший.

Исправьте, если я ошибаюсь.

Вы правы, я сам проходил через это. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Здесь описано ровно то, что пережили мы. Ошибка, сделанная на стороне пентест тест на проникновение что это, обычно исправима, но дорого.

Безопасность не бывает абсолютной; цель — сделать атаку нецелесообразной.

я тоже так считаю. если не зафиксировать это письменно с самого начала потом возикнут споры.

конечно если ваша ситуация отличается, всё меняется.

Буду рад, если напишете о результате. Если включена двухфакторная аутентификация, украденный пароль бесполезен.

именно так и при этом об этом мало кто знает. то, что делают все, не значит что это правильно.