Test isteyen çok, teste hazır olan az. Hazırlıksız gelen projelerde bulguların yarısı zaten bilinen şeyler çıkıyor ve para boşa gidiyor.
Bir: kapsamı yazılı verin. Hangi alan adları, hangi IP aralıkları, hangi uygulamalar. "Her şeyi test edin" geçerli bir kapsam değildir.
İki: yetki belgesini hazırlayın. Test edilen sistem sizin değilse (bulut sağlayıcı, barındırma firması) onların da izni gerekir. Bu şaka değil, yasal mesele.
Üç: test ortamı mı canlı mı? Canlıda test edilecekse hangi saatlerde, kim nöbetçi, bir şey bozulursa kim geri alacak — yazılı olsun.
Dört: bilinen açıkları önceden kapatın. Güncellemeleri yapın, varsayılan parolaları değiştirin. Bunlar için para ödemeyin, zaten bulunacak.
Beş: yedek alın ve yedeğin geri dönüp dönmediğini test edin. Yedeği olmayan sistemde test yapmak istemiyoruz.
Altı: raporu kimin okuyacağına karar verin. Teknik ekibe gidecek rapor ile yönetime gidecek özet farklı belgelerdir.
Bir de şunu ekleyeyim: kendi sisteminiz dışında hiçbir yerde izinsiz test yapmayın. Merak ettiğiniz şeyi kendi kurduğunuz ortamda deneyin.