Вышло циркулярное требование по пентесту для гостендеров — что мы подпадаем под наши масштабы?

Тендерные комиссии очень строго проверяют соответствие циркуляру. Если в отчете нет печати аккредитованной TSE компании и регистрационных номеров сертификатов аудиторов, заявку сразу закроют на этапе техэкспертизы. Отчет от фрилансера ни в коем случае не прикладывайте.

В прошлом месяце под похожий тендер мы собирали КП у трех компаний с аккредитацией TSE. На объем из двух веб-сервисов и одного сервера нам дали ценники 55.000 TL, 75.000 TL и 90.000 TL. Если до тендера меньше 15 дней, фирмы могут брать наценку за срочность.

Скопируйте пункт про пентест из ТЗ как есть и отправьте минимум двум компаниям с аккредитацией TSE. Они пришлют бриф на оценку объема. Когда будете заполнять бриф, исключите лишние модули — это и срок сократит и ценник сбросит.

Ваше ПО будет ставиться на локальные серверы в ЦОД самого госоргана или вы отдаете его как SaaS из облака? При локальной установке иногда хватает только анализа исходного кода и теста приложения, а при внешнем хостинге потребуют еще и тест инфраструктуры.

На рынке полно контор, которые вешают логотип TSE на сайт, а сами работают через субподряд. Перед подписанием договора лично проверьте, есть ли фирма в действующем реестре аккредитованных организаций по пентестам на сайте TSE, не кормите посредников.

На нашем первом гостендере мы по незнанию приложили отчет от обычной фирмы по кибербезопасности. Комиссия отклонила заявку из-за несоответствия стандартам документов. Мы даже обжаловать не смогли: и 30.000 TL улетели в трубу и полгода подготовки к тендеру сгорели. В госе надо строго следовать правилам до последней буквы.

Требование по аккредитации TSE жесткое. И еще следите, чтобы дата теста в отчете попадала в рамки срока давности (за последние 6 или 12 месяцев), указанного в ТЗ.

Вы правы. Меры, принятые без инвентаризации, оставляют открытыми двери о которых вы не знаете.

Я бы пошел этим путем.

Вопрос будет немного наивным, извините заранее. Чем сложнее отменить решение, тем медленнее его принимайте.

Интересно, есть ли те, кто делает иначе.

Очень актуальная тема. Не полагайтесь на одну меру защиты; действуйте слоями.

Если напишете результат здесь, это поможет и другим.

расскажу, как это делается на практике потом доступность резервной копии в той же сети и под той же учетной записью делает ее частью цели атаки.

надеюсь, это будет полезно.

Вы правы.

Я долго занимался этим вопросом. Пытаться сделать это в одиночку — самый дорогой путь.

Проверено опытом.

согласен хочу даже особо подчеркнуть. процесс по которому не ведется учет, не улучшается потому что вы не знаете, что именно улучшать.

если путь уведомления длинный уведомление не приходит; а не пришедшее уведомление — это поздно обнаруженный инцидент и я бы пошел этим путем.

Согласен.

У меня нет опыта в циркуляр по тестам на проникновение, поэтому и спрашиваю. Больше всего времени у нас уходило на то что было непонятно кто принимает решения.

Удачи.

здесь есть ловушка, не могу промолчать. ответ сильно зависит от отрасли, универсального правила нет.

надеюсь, это будет полезно.

Хорошо, что вы создали эту тему.