Нам пытаются продать «пентест» — что это вообще такое и нужен ли он компании нашего масштаба?

Не ведитесь на запугивание продажников. Пентест — вещь однозначно полезная, но конторы, которые начинают диалог со слов «срочно покупайте, а то всё рухнет», редко делают нормальную работу. Сначала сами поймите свою задачу, а не берите их готовые пакеты вслепую.

Надо четко разделять автосканирование уязвимостей и сам пентест. Сканер видит только типовые известные бреши, а логику не понимает. Например, если дилер меняет в строке id заказа с 105 на 106 и получает чужую фактуру — такую дыру отловит только живой специалист вручную.

Мы в прошлом году отдали 40.000 TL за проверку похожей системы заказов. Нашли две критические уязвимости в авторизации. Программист закрыл их за пару дней. Если бы кто-то воспользовался этим, конкуренты слили бы все индивидуальные прайсы дилеров, так что траты окупились на все сто.

нам тоже похожее письмо присылали мы отказались, потом наш прогер сам прогнал систему через бесплатные сканеры пока полет нормальный но если есть бюджет спецы конечно глубже проверят.

Посмотрите на кейсы конторы, которая просит 60.000 TL. Полно таких агентств: скачают из сети бесплатный софт, погоняют пару часов и выдадут шаблонный отчет на 80 страниц. Если в отчете нет реального анализа кода или ваших бизнес-процессов, деньги на ветер.

Оценивая коммерческое предложение, обязательно проясните три момента: 1) Будет ли тест проводиться методом серого ящика, то есть дадите ли вы им учетку для входа? 2) Есть ли риск падения сайта во время тестирования? 3) Имеет ли итоговый отчет статус официального документа независимого аудита в рамках Türk Ticaret Kanunu или требований KVKK?

Не подписывайте договор с ходу. Запросите установочные созвоны еще как минимум у двух компаний по кибербезопасности для оценки скоупа. Выдайте две дилерские тестовые учетки и запросите КП только на B2B-панель, без учета серверной инфраструктуры.

А можно вопрос: пока идет этот тест, система заказов отключается на какое-то время или дилеры могут спокойно продолжать оформлять заказы в фоне?

Я сталкивался с тем же. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Если напишете результат здесь, это поможет и другим.

Об этом много говорят, но у нас так никогда не было. Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Если напишете результат здесь, это поможет и другим.

Если я правильно понял, вы имеете в виду следующее: Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Если напишете результат здесь, это поможет и другим.

Самое упускаемое из вида в теме пентест что это такое: Главное не цифра, а то на основе чего она получена.

Пишите, если есть вопросы, отвечу по мере возможности.

Не могли бы вы это пояснить? Процесс, по которому не ведется учет, не улучшается, потому что вы не знаете, что именно улучшать.

Забытые тестовые среды становятся входом в систему чаще, чем продакшн. Я бы пошел этим путем.

Спасибо что написали об этом это действительно так. Изменение платежных данных никогда не подтверждается через тот же канал.

В прошлом году мы столкнулись практически с тем же самым. То, что делают все, не значит, что это правильно.

Надеюсь, это будет полезно.

Хочу предупредить. Без измерений мы всегда приходим к одному и тому же.

Я бы пошел этим путем.

Слежу за темой.

Вопрос будет немного наивным, извините заранее. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Когда пытаешься изменить всё сразу ничего не приживается.