Сказали "сделайте веб-пентест" — что это вообще такое, обязательно ли это для нашего сайта?

при работе с крупными корпоративными клиентами, к сожалению, возникают такие стандартные бюрократические преграды. этот список навязывает не закупщик, который интересуется вашеей мебелью а ИТ-директор компании. чтобы получить заказ особого выбора, кроме как достать этот отчёт не остаётся.

исправление: ошибся в цифре, было чуть меньше.

Мы в прошлом месяце столкнулись с похожим требованием для нашего сайта-визитки на 8 страниц. Первое предложение было 30.000 TL. Мы ограничили объём одним доменом и статическими формами, за два дня работы выставили счёт на 12.000 TL и сдали отчёт — заказ подтвердили.

Платить 25.000 TL за пентест статического сайта, который не принимает оплату, — это полная трата ресурсов. Напишите официальное письмо закупщику отеля, объяснив, что на нашем сайте нет регистрации пользователей и базы данных, только контактная форма, — может, вас освободят.

Процесс примерно такой: 1) Вы сообщаете компании по безопасности адрес и структуру вашего сайта. 2) Специалисты проводят тестовые атаки на ваш сайт. 3) Найденные уязвимости и рекомендации по их устранению оформляются в отчёт. 4) Ваш хостинг закрывает уязвимости, и итоговый отчёт о проверке передаётся клиенту.

Обязательно спросите у компании, которая даёт предложение, за сколько дней будет готов отчёт и входит ли в стоимость повторная проверка после закрытия уязвимостей. Некоторые фирмы могут выставить дополнительную плату за вторую проверку.

если на сайте только контактная форма уберите эту форму, напишите мейл и всё, посоветуйтесь с клиентом, можно ли обойтись без затрат на пентест.

Если прибыль от гостиничного проекта покрывает эти затраты на тест, делайте, не затягивая процесс. Корпоративные компании обычно избегают делать исключения в процедурах безопасности, если будете настаивать — могут вернуться к другому поставщику.

При выполнении этого часто совершают одну ошибку. Время обнаружения проблемы напрямую определяет ее стоимость.

Меры, принятые без инвентаризации, оставляют открытыми двери, о которых вы не знаете. Если напишете результат здесь, это поможет и другим.

Хорошо, что вы создали эту тему.

Здесь есть еще и аспект измерений. Прежде чем принимать решение, посмотрите, какие данные у вас есть.

Проверено опытом.

У нас было так. Главное не цифра а то, на основе чего она получена.

Я бы пошел этим путем.

Не могли бы вы это пояснить? Первые три месяца все идет хорошо, проблемы всплывают на четвертом.

Большая часть потерь времени копится на задачах, ожидающих согласования. Исправьте, если я ошибаюсь.

Буду рад если напишете о результате.

У меня будет вопрос, не хочу уходить от темы, но... Когда пытаешься изменить всё сразу, ничего не приживается.

У меня было наоборот, поэтому и пишу. Две недели ведения заметок дают лучший результат, чем шестимесячные прогнозы.

На этом всё, извините, если затянул.

Я бы не торопился. Время обнаружения проблемы напрямую определяет ее стоимость.

У нас было так. Непроверенная резервная копия — не резервная копия.

Интересно есть ли те, кто делает иначе.

Вы правы, я сам проходил через это. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Интересно, есть ли те кто делает иначе.