Стоит ли просить пример отчёта при запросе коммерческого предложения на пентест, и что там должно быть?

Прикрываться NDA — классическая отмазка халтурщиков в этой сфере. У любой нормальной конторы всегда лежит готовый обезличенный шаблон под собственным брендом.

На 50 страниц тоже сразу не ведитесь. Полистайте внимательно: если там десятки листов с описанием низкоуровневых библиотек и общими терминами из интернета, это вполне может быть тот же автоматический прогон.

В прошлом году отдали 40.000 TL за наш первый пентест, так из 60 страниц отчёта 50 оказались просто копипастой из Википедии. Пытались спорить, но в договоре скоуп был прописан криво, пришлось платить.

а сколкьо обычно уходит времени у своих разрабов на исправление багов из отчёта? короче и за повторный тест (ретест) надо отдельно доплачивать?

В отчёте надо обязательно смотреть: 1) границы тестирования (что исключено из скоупа), 2) логику скоринга по CVSS, 3) условия и сроки ретеста (повторной верификации).

Ваши корпораты при аудите будут смотреть не просто на факт наличия бумажки, но и на аккредитации с сертификатами самой конторы и её спецов. Сразу впишите это требование в ТЗ на закупку.

контора без отчёта стопудово просто запустит сканер и назавтра нажмёт экспорт в pdf. честно даже не связывайтесь чистая рулетка.

Об этом много говорят, но у нас так никогда не было. Главное не цифра, а то, на основе чего она получена.

Если не зафиксировать это письменно с самого начала, потом возникнут споры. Надеюсь, это будет полезно.

Пишу это, чтобы вы не совершили ту же ошибку. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

Надеюсь, это будет полезно.

Отличная работа. короче то что делают все не значит что это правильно.

Это мое мнение не утверждаю что оно единственно верное.

Согласен. ну большинство инцидентов начинается не с уязвимости, а с украденного пароля.

Я бы пошел этим путем.

Вы правы.

согласеен хочу даже особо подчеркнуть и спешка в решениях оборачивается исправлениями через полгода.

если на один вопрос вы получаете три разных ответа, вопрос заддан неправильно. надеюсь это будет полезно.

Позвольте подвести итог сказанному выше. Не полагайтесь на одну меру защиты; действуйте слоями.

Если напишете результат здесь, это поможет и другим.

Да, по теме пример отчёта о тестировании на проникновение ситуация именно такая. Непроверенная резервная копия — не резервная копия.

Это мое мнение, не утверждаю, что оно единственно верное.

У нас было так. Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете.

Это мое мнение, не утверждаю, что оно единственно верное.

Вы правы, я сам проходил через это. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Надеюсь, это будет полезно.