Мы малый бизнес: пентест для нас обязателен по закону или это добровольно?

Если на кону контракт с клиентом, уже неважно, что там написано в законе — без этой бумажки сделку просто не закроют. При заказе сразу говорите подрядчикам, чтобы тестили только веб-сервис и внешний IP. Уберете внутренний аудит — и ценник с 65 000 TL легко упадет тысяч до 35 000–40 000 TL.

В прошлом году у нашей команды из 30 человек была похожая ситуация. Из-за требований клиента пришлось выложить 50.000 TL и сделать тест. В процессе выяснилось, что порт БД был открыт наружу без авторизации, а старый эндпоинт API работал вообще без аутентификации. Сначала думали — лишние траты, но репутационные потери от этих дыр обошлись бы в разы дороже.

На рынке развелось полно посредников, которые за 15.000 TL прогонят автоматический сканер и сунут вам 80-страничный отчет. Если у вашего корпоративного клиента иб-шники хоть немного шарят, они этот отчет сразу в корзину спустят, и деньги сгорят. Обязательно проверяйте, чтобы услуга включала ручную валидацию и пентест по сценариям.

Тему можно разложить на четыре основных пункта: 1) Если нет прямых отраслевых требований, по закону вы не обязаны. 2) В рамках KVKK это считается технической мерой, так что при утечке отсутствие теста признают вашей виной. 3) Корпоративные клиенты с ISO 27001 могут прописать это обязательным условием в договоре. 4) Если решите оформить страховку от киберрисков, это станет условием полиса.

кстати когда получите отчет не отправляйте его клиенту целиком потом просите у компании по безопасности резюме для руководства (executive summary). отдавать клиенту технические детали со всеми дырами и шагами эксплойтов — это лишние риски для безопасности.

В процессе аудита поставщиков вы попадаете под матрицу рисков контрагента. Чтобы защитить свои права, подпишите перед договором соглашение о конфиденциальности (NDA) и запросите документ о согласовании рамок проверки, где будет четко указано, что результаты аудита ограничены только согласованным периметром.

А ваш клиент требовал в отчете стандарт TSE или конкретные сертификаты? Если достаточно просто отчета от независимой третьей стороны, можно ограничить рамки только веб-панелью и сбить цену, вы ТЗ внимательно читали?

Поначалу всем кажется, что это пустая трата денег но через этот этап проходит любой B2B-разработчик, который хочет расти. Один раз сделаете поймете методологию и в следующие года всё будет проходиться намного быстрее и без стресса так что не бойтесь.

Здесь описано ровно то, что пережили мы. Большая часть потерь времени копится на задачах, ожидающих согласования.

Конечно, если ваша ситуация отличается, всё меняется.

Здесь есть еще и аспект измерений. Решения, работающие в малом масштабе, рушатся при росте, я узнал это слишком поздно.

Очень актуальная тема. Если не зафиксировать это письменно с самого начала, потом возникнут споры.

Если напишете результат здесь, это поможет и другим.

сохранил. две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

пишите, если есть вопросы, отвечу по мере возможности.

Именно так. Решения работающие в малом масштабе, рушатся при росте я узнал это слишком поздно.

Интересно, есть ли те, кто делает иначе.

Прочитал этот ответ и выдохнул: значит, проблема не только у меня... Ошибка сделанная на стороне пентест для малого бизнеса обязателен, обычно исправима, но дорого.

После того случая мой взгляд на вещи изменился. При принятии решений записывайте и худший сценарий, а не только лучший.

На этом всё, извините, если затянул.

На что обратить внимание при выполнении этого. Если на один вопрос вы получаете три разных ответа, вопрос задан неправильно.

Пишите если есть вопросы отвечу по мере возможности.

Мне тоже интересно.

Если я правильно понял, вы имеете в виду следующее: Время обнаружения проблемы напрямую определяет ее стоимость.

Исправьте, если я ошибаюсь.