Потребовали "тест на безопасность" — что именно делают и чего от нас ждут?

Filiz S***2 месяца назад·40 сообщений·10 тыс. просмотров#тестирование безопасности #аудит #условие договора #корпоративный клиент

Filiz S***Участник

Должность: Разработчик ПО
Отрасль: Типография
Тип организации: стартап на ранней стадии
Дата регистрации: апр. 2026 г.
Сообщение: 129

2 месяца назад#1

Мы небольшая софтверная компания из 9 человек, разрабатываем облачное ПО для управления складом и логистикой. В прошлом месяце сели за стол переговоров с крупной международной розничной сетью и дошли до этапа лицензионного договора на 520.000 TL в год. Но корпоративный отдел информационной безопасности заказчика добавил в договор условие: "Перед запуском в продакшн должен быть предоставлен отчёт независимого теста на безопасность, а находки с высоким риском — закрыты".

На стороне разработки мы следим за стандартными практиками кодирования, но до сих пор ни разу не проходили официальный процесс тестирования на безопасность. Когда этот процесс начнётся, что именно заказчик или проверяющая команда от нас потребуют? Тест делают на живом сервере или нам нужно поднять тестовый стенд? Они будут смотреть наш код или попытаются проникнуть в систему снаружи? Буду очень благодарен, если кто-то с опытом подскажет, как всё устроено и сколько рабочего времени это займёт с нашей стороны.

MerveУчастник

Должность: Операционный директор
Тип организации: кооператив
Дата регистрации: март 2024 г.
Сообщение: 118

2 месяца назад#2

Сразу напишите в отдел информационной безопасности заказчика и запросите стандартную методологию тестирования, которую они принимают, и шаблон формы объёма теста. Если закажете тест на своё усмотрение, они могут отклонить отчёт из-за несоответствия формату.

BetülЭксперт

Должность: Консультант по управлению
Дата регистрации: окт. 2023 г.
Сообщение: 164

2 месяца назадСамый полезный#3

Короткий ответ: тест на безопасность, который требует заказчик, — это процесс независимого подтверждения сторонней экспертной организацией того, что ваше ПО защищено от утечек данных, несанкционированного доступа и системных уязвимостей. Команда тестировщиков ищет уязвимости, действуя и как внешний злоумышленник, и как авторизованный пользователь.

При работе с крупными корпоративными заказчиками это требование абсолютно естественно, потому что они боятся утечки в свою внутреннюю сеть через ваше ПО или кражи их корпоративных данных. Когда процесс начнётся, от вас в основном ждут трёх вещей: архитектурной схемы системы, доступов к тестируемому окружению и описания пользовательских ролей.

Тест ни в коем случае не проводят на живом сервере. Тестировщики шлют в систему интенсивные запросы, инжектят спецсимволы в базу данных и нагружают бизнес-процессы; всё это может испортить реальные данные. Поэтому вам нужно поднять точную копию продакшна (staging), где реальные данные замаскированы или заменены чистыми тестовыми.

Для подготовки стоит пройти такие шаги: 1) Заведите для тестовой компании по два тестовых аккаунта на каждую пользовательскую роль (например, кладовщик, управляющий филиалом, системный админ). 2) Добавьте IP-адреса тестирующей команды в белый список на вашем файрволе и в защитном ПО, чтобы их не блокировали и они могли сканировать глубоко. 3) После выхода отчёта запланируйте 1-2 недели на разработку, чтобы команда закрыла уязвимости; после устранения тестовая компания повторно сканирует и подтверждает чистый отчёт.

Burcu A***УчастникУчастник сообщества

Дата регистрации: май 2024 г.
Сообщение: 146

2 месяца назад#4

Обычно делают 'Gray Box', то есть тест серого ящика. Исходники у вас не просят, но просят логин и пароль. Цель — проверить, сможет ли обычный складской сотрудник повысить свои права и добраться до функций администратора.

Rıdvan B***УчастникУчастник сообщества

Дата регистрации: май 2023 г.
Сообщение: 180

2 месяца назад#5

Мы в прошлом году заказывали тест для нашего SaaS-продукта похожего масштаба. Тест занял 5 рабочих дней, нашли 1 критическую и 3 средних уязвимости. Наша команда разработки потратила на правки около 25 часов. После передачи заказчику чистого отчёта договор подписали без проблем.

Zeynep K***УчастникУчастник сообщества

Дата регистрации: февр. 2024 г.
Сообщение: 41

2 месяца назад#6

В договоре заказчика указано, что отчёт должна делать независимая организация но они прописали обязательное наличие у тестовой фирмы одобрения TSE или определённых международных сертификатов? Если не обратите на это внимания, отчёт могут признать недействительным.

Halil K***Участник

Должность: Руководитель клиники
Отрасль: Морепродукты
Тип организации: среднее предприятие
Дата регистрации: май 2024 г.
Сообщение: 208

Doki · Интерфейсный дизайн · 2026

2 месяца назад#7

Что нужно подготовить до начала теста: 1) Документацию по API или вывод Swagger, 2) Адреса входа в тестовое окружение и учётные данные, 3) Номер телефона технического ответственного, который сможет в экстренном случае остановить тест.

Ahmet G***УчастникУчастник сообщества

Дата регистрации: апр. 2022 г.
Сообщение: 30

2 месяца назад#8

когда поднимаете тестовое окружение обязательно обнулите реальные имена и телефоны клиентов из продакшна но загрузите в тестовое окружение анонимные данные чтобы потом эти данные не всплыли в отчёте скриншотом как уязвимость.

Bora Y***ЭкспертУчастник сообщества

Дата регистрации: окт. 2025 г.
Сообщение: 127

2 месяца назад#9

добро пожаловать на церемонию знакомства с корпоративным заказчиком. после теста на безопасность настанет очередь анкеты оценки рисков третьих сторон из 80 пунктов, так что заварите кофе заранее.