«Bilgi güvenliği denetimi yaptırın» dediler — bu nedir, olmadan olmaz mı?

Denetim firması sizden kod deposu erişimi, sunucu logları ve ağ topolojisi isteyecek. Kod tarafında hassas verilerin nasıl şifrelendiğine, sunucuda ise SSH anahtarlarının ve veritabanı bağlantı şifrelerinin nerede tutulduğuna bakarlar. Bunları önceden toparlarsanız süreç çok hızlanır.

Hemen pahalı bir denetim firmasına imza atmayın. Müşterinin IT direktörüne doğrudan «Standart bir sızma testi raporu ve düzeltme planı yeterli olur mu?» diye sorun. Vakaların çoğunda kapsamlı bir kurum denetimi deil, sadece sistemin hacklenemeyeceğinin kanıtını arıyorlar.

Geçen yıl 400.000 RUB ödeyip yaptırdık. Denetçi raporunda 2'si kritik toplam 9 açık buldu. Açıkları kapatmamız 10 gün sürdü ve ardından temiz rapor aldık. Müşteri o rapor sayesinde 3 yıllık sözleşmeyi tek günde imzaladı, verilen parayı fazlasıyla çıkardı.

Piyasada 150 bin rubleye otomatik araç çalıştırıp PDF çıktısı veren firmalar var... Sakın onlara kanmayın; büyük perakendecinin güvenlik uzmanları o raporun yüzeysel olduğunu anında fark eder ve şirketinizin güvenilirliği tamamen biter.

Kurumsal şirketler tedarikçi zincirinden kaynaklanabilecek veri ihlallerinde yasal ve mali cezalara muhatap olurlar. Bu nedenle üçüncü taraf risk yönetimi prosedürleri gereğince denetim raporu talep etmeleri standart bir satın alma kuralıdır.

Gelen denetçi ekibin sizden isteyeceği 3 temel başlık vardır: 1) Sunuculara yönelik sızma testi bulguları, 2) Çalışanların şirket içi verilere erişim logları ve iki aşamalı doğrulama zorunluluğu, 3) Verilerin hangi aralıklarla ve nerede yedeklendiğini gösteren kurtarma planı.

14 milyonluk iş icin 400 binlik denetim maliyetine kesinlikle değer bu bir engel deil kurumsal lige geçiş bileti.

Uzun süre bu işle uğraştım. Bir konuda üç farklı cevap alıyorsanız soru yanlış sorulmuştur.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Yukarıdaki cevap işin özünü söylemiş. Ölçmeden karar verince hep aynı yere geliyoruz.

Not olarak bırakayım, lazım olur.

Bir sorum olacak, konudan sapmak istemem ama. Yanlış alarmı azarlarsanız bir daha kimse bildirim yapmıyor.

Sonucu buraya yazarsanız başkalarına da faydası olur.

bu başlığı açtığınız iyi olmuş. ilk kez yapıyorsanız küçük başlayın ölçek sonra gelir.

bunun ceabı sektöre göre çok değişiyor genel geçer bi kural yok ve sonucu buraya yazarsanız başkalarına da faydası olur.

Katılıyorum. İzin ve kapsam yazılı değilse o test başlamasın.

Bu kdr uzattıysam kusura bakmayın.

ben de aynı kanıdayım. otomatik tarama raporu ile sızma tesi aynı şey dgl.

sonucu buraya yazarsanız başkalarına da faydası olur.

Ben de aynı kanıdayım. İlk kez yapıyorsanız küçük başlayın ölçek sonra gelir.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Ben de aynı kanıdayım. İkinci doğrulama açıksa çalınan parola tek başına işe yaramıyor.

Otomatik tarama raporu ile sızma testi aynı şey değil. Bu kadar, uzattıysam kusura bakmayın.

bende tam tersi oldu o yüzden yazıyorum sonra olaylaırn çoğu zafiyetten deil, sızmış bi paroladan başlıyor.

başka türrlü yapan varsa onu da merak ederim.

tam olaarak böyle. valla her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

koolay gelsin.

ben de aynı kanıdayım. valla küçük ölçekte işe yaarayn çözüm büyüyünce çöküyor bunu geç öğrendim.