Penetrasyon testi yaptırmamız söylendi — düzgün bir dille açıklayın, gerçekten gerekli mi?

Şöyle hayal edin: Otomatik tarama, binanın kapı kilitlerinin markasına bakıp bilinen bir kusuru var mı diye kontrol eden bir görevlidir. Penetrasyon testi ise binaya hırsız gibi girmeye çalışan, pencereleri zorlayan, yangın merdivenini deneyen profesyonel bir davetsiz misafirdir. Kurumsal müşteriler kapının gerçekten açılıp açılmadığını görmek ister.

Benzer bir B2B sözleşme için geçen sene 4.500 dolar ödeyip yaptırdık. Başta çok gereksiz gelmişti ama raporda müşteri veritabanına yetkisiz erişilebilen çok kritik bir açık çıktı. Müşteriye sunduğumuz yönetici özeti sayesinde 60.000 dolarlık kontratı sorunsuz bağladık, parasını katbekat çıkardı.

Müşterinize hemen gidip şu soruyu sorun: 'Rapor için spesifik bir standart veya kapsam beklentiniz var mı?' Bazen müşteriler sadece dış IP taraması isterken bazen tam kapsamlı uygulama testi bekler. Kapsamı daraltabilirseniz teklif edilen 8.000 dolarlık fatura 3.000 dolara kadar inebilir.

Piyasada 1.000 dolara otomatik bir aracı çalıştırıp 80 sayfalık karmaşık bir raporu 'sızma testi' diye satan çok yer var. Bu tip sahte raporları kurumsal bilgi güvenliği ekipleri ilk bakışta anlar ve güveninizi tamamen kaybedersiniz. Alacağınız hizmetin içinde manuel doğrulama mutlaka olmalı.

Kurumsal dünyanın altın kuralıdır: Kendi risklerini küçük tedarikçilere yüklemeyi çok severler. Şimdi 4.000 dolar verip rapor almazsanız sözleşmeyi başka bir tedarikçiye verirler, sonra o tedarikçinin güvenliğini hiç denetlemezler. Ne yazık ki bu oyunu kuralına göre oynamak zorundasınız.

biz de ilk istediklerinde paniklemistik. meger musterinin sigorta sirketi zorunlu tutuyormus. valla kapsami netlestirip ufak bi firmayla anlastik uc gunde testi bitirip ozet raporu verdiler ve soozlesme baglandi.

gözünüz korkmasın, sisteminizi çökertecek bi şey yapmıyorlar. test başlamadan önce bi gizlilik ve yetki protokolü imzalanıyor, test ortamında veya kontrollü saatlerde çalışıyorlar. valla işletmenizi büyütmek istiyorsanız bu tür kurumsal aşamalar maalesef kçınılmaz hale geliyor.

Müşteriniz testi doğrudan canlı ortamda mı istiyor yoksa bi test sunucusu kuracak mısınız? açıkçası ayrıca veritabanınızda hassas müşteri verileri var mı? Kapsamı netleştirmeden firmalardan gelen teklifleri kıyaslamanız çok zor.

Sağ olun, aradığım cevap buydu.

Küçük bi işletmeyim, benim tarafımdan anlatayım. İnsanlar süreci değil alışkanlığı savunur. ya direnç oradan gelir.

Başka türlü yapan varsa onu da merak ederim.

Bir dönem biz de aynı yerde takıldık. Alışkanlığı değiştirmek, sistemi kurmaktan zor ve pahalı.

İki hafta boyunca not tutmak, altı aylık tahminden iyi sonuç veriyor. Sonucu buraya yazarsanız başkalarına da faydası olur.

yanlış anlamadıysam şunu diyorsunuz: Küçük ölçekte işe yarayan çözüm büyüyünce çöküüyor bunu geç öğrendim.

kafamdaki soru işarei kalktı tşk ve neyse çıkış planı olmayan hiç bi anlaşmaya girmeyin

umarım işşinize yarar

Takipteyim.

Haklısınız ben de aynı yoldan geçtim. Sormaktan çekinmeyin sormayan hep daha pahalıya ödüyor.

Bunu yıllık toplam maliyet üzerinden hesaplayın aylık fatura üzerinden deil... Benim görüşüm bu, kesin doğru diye yazmıyorum.

iki yıl önce aynısını yaşadım... ya önce ölçün sonra bölün. sıra böyyle olunca tartışma bitiyor.

umarım işşinize yarar.

Çok teşekkürler bugün deneyeceğim.

Geçen yıl neredeyse aynısını yaşadık. penetrasyon testi nedir tarafında yapılan hata genelde geri dönülebilir ama pahalı.

Bu kadar, uzattıysam kusura bakmayın.