В коммерческом предложении указано сканирование уязвимостей, но я не понимаю: что это такое, достаточно ли его или пентест обязателен?

Представьте это так: охранник обходит здание по периметру и дергает за ручки все двери и окна снаружи — это сканирование уязвимостей. А вот если он залезет через незапертое окно и попытается вскрыть сейф на столе — это уже пентест. В КП под сканированием, скорее всего, подразумевается обычная проверка портов и сервисов по готовым базам сигнатур.

Мы для нашего оптового сайта в Риме в прошлом году взяли сканирование за 1.100 EUR. Первый же отчет выдал 34 уязвимости, из них 6 критических из-за устаревшего серверного плагина. Накатили апдейты, и в следующем квартале критических уже был ноль. Для нас польза окупилась с головой.

До подписания договора обязательно уточните у подрядчика: «Вы просто скинете нам сухой PDF-отчет от сканера или в стоимость входит часовая консультация, где мы вместе с нашим IT-шником расставим приоритеты по закрытию дыр?» Если они планируют просто выплюнуть автоотчет и пропасть, не тратьте на это деньги.

Автоматические сканеры сыплют кучей ложных срабатываний (false positive). Даже мелкую неточность в настройке заголовков они могут пометить как критический риск. Если в команде некому вдумчиво прочитать этот отчет и отсеять мусор от реальной угрозы, пользы от него будет ноль.

имхо если на портале нет данных кредиток, пентест щас пустая трата денег. ну настройте регулярный скан и вовремя обновляйте сервер для 90% небольших контор этого за глаза.

Законодательство Италии и регламенты ЕС по защите данных обязывают бизнес принимать технические меры для защиты коммерческой информации клиентов. Регулярный запуск сканирования и архивирование отчетов послужат весомым официальным подтверждением вашей осмотрительности в случае аудита или проверок регулятора.

Чертежи на портале принадлежат вам или это кастомные разработки заказчиков? Если там хранятся запатентованные чертежи клиентов, представляющие коммерческую тайну, кто-то из них по контракту может потребовать ежегодный пентест. Вы перечитывали договоры с ними?

Не усложняйте себе жизнь: берите пакет за 1.200 EUR это не ударит по бюджету но сразу оговорите чтобы они же помогли закрыть найденное. в общем пусть за первый год приведут систему в порядок а дальше если бизнес вырастет можно будет и о пентесте подумать.

Эта тема в архиве.

у нас так же.

В прошлом году мы столкнулись практически с тем же самым. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Если напишете результат здесь это поможет и другим.

Как думаете, это сработает в любом масштабе? Все, кто торопится с сканирование уязвимостей что это, спотыкаются на одном и том же.

Пишите, если есть вопросы, отвечу по мере возможности.

Верно.

Появились три разных мнения они дополняют друг друга. Не полагайтесь на одну меру защиты; действуйте слоями.

Если на один вопрос вы получаете три разных ответа вопрос задан неправильно.

Расскажу, что было у меня, вдруг пригодится. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Если напишете результат здесь, это поможет и другим.

В этом пункте я с вами не согласен. Чем сложнее отменить решение, тем медленнее его принимайте.

Удачи.

Редко встретишь текст с такой ясностью изложения.

извините, но это верно не во всех случаях... ошибка, сделанная на стороне сканирование уязвимостей что это обычно исправима но дорого.

это мое мнение, не утверждаю, что оно единствено верное.