Büyük bir müşteri sözleşme öncesi sızma testi istiyor, kapsamı nasıl belirlemeliyiz?

Kurumsal denetçiler otomatik araç çıktılarını anında anlar. Raporun başında bir yönetici özeti, metodoloji referansı ve zafiyetlerin nasıl giderildiğine dair kapatma tarihi yoksa müşteri o raporu kabul etmez. Ucuzuna kaçıp müşteriyi kaybetme riskine girmeyin.

Müşterinizin sizden talep ettiği şartnamenin yazılı bi kopyasını isteyiniz. Çoğu kurumsal yapıda güvenlik gereksinimleri standart bi kontrol listesiyle belirlenmiştir. Bu belgeyi temin edip teklif aldığınız güvenlik firmalarına iletmeniz, kapsam dışı masrafların önüne geçecektir.

Kapsamı netleştirmek için firmalara şu üç parametreyi net vermelisiniz: 1) Sistemin kullanıcı rolü sayısı (yönetici, bayi, standart kullanıcı). 2) Uygulamanın dışarıya açık API uç noktası adedi. 3) Testin canlı ortamda mı yoksa birebir kopyalanmış hazırlık sunucusunda mı yapılacağı.

Biz de Valencia'da 18 kişilik bi ekibiz. Benzer bi müşteri 4.000 Euro civarında bi bütçeyle yaptırdığımız testi kabul etti. Test 4 gün sürdü, raporda 2 yüksek seviye açık çıktı. Ekibimiz açıklıkları 10 günde kapattı ve firma ücretsiz yeniden test raporu verdi. Müşteri iki gün sonra sözleşmeyi imzaladı.

8.500 Euro teklif verenler muhtemelen tüm bulut mimarinizi ve ofis ağınızı da işin içine katmıştır... bu arada müşterinin verisinin tutulmadığı kurumsal ofis ağınızı neden test ettiresiniz ki? Satış sözleşmesi neyi kapsıyorsa test de sadece o veri akışıyla sınırlı kalmalıdır.

Testi kesinlikle canlı veritabanında yaptırmayın. Canlıya birebir benzeyen ama içi sahte verilerle dolu bir test ortamı kurun. Güvenlik testleri sırasında veritabanı kilitlenmeleri veya beklenmedik silinmeler yaşanabilir, gerçek operasyonunuz durmasın.

iki günde bitiririz diyen firmalardan uzak durun bence.. sonra doğrudan oomatik tarayıcı çalıştırıp pdf teslim ediyorlar... kurumsal müşteri bunu hemen anlar ve baştan yaptırır.

edit: yukarıda yanlış yazmışım, kusura bakmayın.

65.000 Euro yıllık harika bi sözleşme tebrik ederim. 3.000-4.000 Euro bu ölçekte bi iş icin gayet normal bi güvenlik yatırımı. hatta bu raporu aldıktan snra diğer potansiyel kurumsal müşterilerinize de güven unsuru olarak sunabilirsiniz.

Bunun bir de ölçüm tarafı var. Her şeyi aynı anda değiştirmeye çalışınca hiçbiri oturmuyor.

Kolay gelsin.

aynen öyle, üsteik bu kdr bilinmiyor ve unutulmuş test ortamları canlı sistemden daha sık kapı oluyor.

asıl mesele rakam değl, o rakamın neye göre çıktığı.

Ben de merak ediyorum.

Bu başlık arşivlik.

Kavramları ayıralım karıştırılıyor. İlk üç ay her şey iyi gider, sorun dördüncü ayda çıkar.

Kayıt tutmayan hiçbi süreç düzelmiyor, çünkü neyi düzelteceğinizi bilmiyorsunuz.

emeginize saglik. yazili olmayan her madde, ileeride iki tarafin da farkli hatiradigi bi madde.

umarım işiize yarar.

Bir dönem biz de aynı yerde takıldık. Yedeğin aynı ağda ve aynı kimlikle erişilebilir olması, onu hedefin parçası yapıyor.

Ödeme bilgisi değişikliği asla geldiği kanaldan doğrulanmaz.

Bir şey sormak istiyorum. Yanlış alarmı azarlarsanız bi daha kimse bildirim yapmıyor.

Umarım işinize yarar.

Bende tam tersi oldu, o yüzden yazıyorum. Bunu tek başına yapmaya çalışmak en pahalı yol.

İlk üç ay herşey iyi gider, sorun dördüncü ayda çıkar. Not olarak bırakayım, lazım olur.

Teknik tarafını biraz açayım. Bunu baştan yazılı hâle getirmezseniz sonra tartışma çıkıyor.