Blog / Testy penetracyjne
Ankieta bezpieczeństwa dostawcy SaaS i pytania o pentest w odpowiedziach
Ankieta bezpieczeństwa od dużego klienta ma zwykle od trzydziestu do dwustu pytań, a o testy penetracyjne pyta w kilku miejscach naraz. Najkrótsza droga to jedna spójna odpowiedź z datą ostatniego testu, jego częstotliwością i dokumentem, który można załączyć.
Krótka odpowiedź na pytanie o pentest w ankiecie
Napisz konkretnie: kto testuje, jak często, kiedy był ostatni test, jaki był zakres i jak szybko naprawiacie uwagi krytyczne. Przykład: test zewnętrzny wszystkich domen produkcyjnych wykonywany co tydzień, ostatni raport z datą w załączniku, uwagi krytyczne zamykane w ciągu siedmiu dni.
Ogólnik w rodzaju tak, regularnie testujemy bezpieczeństwo, wraca do Ciebie z pytaniami doprecyzowującymi i wydłuża proces zakupowy o tydzień lub dwa. Dla zespołu sprzedaży to realny koszt, bo umowa czeka na działu bezpieczeństwa klienta.
Jakie pytania o testy penetracyjne pojawiają się najczęściej
- Czy wykonujecie niezależne testy penetracyjne i jak często. Odbiorca szuka częstotliwości, nie samego faktu.
- Kiedy wykonano ostatni test i czy możecie udostępnić raport lub jego streszczenie. Raport starszy niż dwanaście miesięcy zwykle jest odrzucany.
- Jaki był zakres. Domeny, panel klienta, API, środowiska. Zakres wskazany ogólnie nie przechodzi.
- Jak zarządzacie podatnościami i w jakim czasie je usuwacie. Tu liczy się proces i terminy, nie deklaracja.
- Czy wynik testu jest powiązany z wymaganiami regulacyjnymi, na przykład NIS2. Pytanie pojawia się, gdy klient jest podmiotem ważnym lub kluczowym.
Jaki dokument załączyć do ankiety
Najlepiej raport z ostatniego testu z datą, listą domen, uwagami z priorytetem i statusem napraw. Jeśli macie ciąg wyników z kilku miesięcy, dołącz zestawienie: pokazuje, że bezpieczeństwo jest procesem, a nie jednorazowym zadaniem przed podpisaniem umowy.
Nie wysyłaj surowego zrzutu z narzędzia ani raportu, który zawiera adresy wewnętrznych systemów, jeśli odbiorca o nie nie prosi. Raport wylistuje wersje oprogramowania i wystawione usługi, więc przekaż go wskazanej osobie bezpiecznym kanałem, nie w otwartym wątku mailowym.
Test jednorazowy czy cykliczny w oczach działu bezpieczeństwa
Jednorazowy pentest ręczny kosztuje zwykle kilkanaście do kilkudziesięciu tysięcy złotych i jest ważny w dniu wykonania. Po kilku wdrożeniach produktu opisuje już inny system. Działy bezpieczeństwa klientów wiedzą o tym, dlatego pytają o częstotliwość.
Dobrym układem dla SaaS jest połączenie dwóch rzeczy: cotygodniowy test zewnętrzny, który pilnuje konfiguracji, certyfikatów, wystawionych usług i wersji, oraz ręczny test logiki biznesowej raz w roku lub przed dużym wydaniem. Pierwszy odpowiada na pytanie o ciągłość, drugi o głębię. Koszty obu opisaliśmy w artykule ile kosztują testy penetracyjne.
Czego nie obiecywać w ankiecie
- testów, których nie wykonujecie, na przykład ręcznego pentestu aplikacji, jeśli jest tylko test automatyczny
- zerowej liczby podatności, bo to deklaracja nie do udowodnienia
- terminów napraw krótszych, niż faktycznie dotrzymujecie
- certyfikatów, których jeszcze nie macie, zamiast opisu faktycznych środków
Ubezpieczyciel lub klient może poprosić o dowody przy incydencie albo audycie. Odpowiedź niezgodna z dokumentami jest gorsza niż uczciwa informacja o tym, co robicie dziś i co planujecie wdrożyć.
Jak przygotować gotowy zestaw odpowiedzi
Zespoły SaaS, które wygrywają duże kontrakty, mają przygotowany stały pakiet: jednostronicowy opis procesu testów, ostatni raport, zestawienie napraw i odpowiedzi na dwadzieścia najczęstszych pytań. Aktualizują go raz na kwartał. Odpowiedź na kolejną ankietę zajmuje wtedy godzinę, nie tydzień.
Przy planowaniu infrastruktury zadbaj też o to, gdzie działa aplikacja i kto ma do niej dostęp. Pytania o lokalizację danych i dostawcę infrastruktury padają w tej samej ankiecie, a firmy wybierające polski hosting dla firm z serwerami w Polsce odpowiadają na nie prościej.
Do pakietu dodaj krótką informację o tym, kto w firmie odpowiada za bezpieczeństwo i jak zgłasza się incydenty. Klient chce wiedzieć, do kogo zadzwonić, gdy coś się stanie, a nie tylko, jak wygląda procedura na papierze.
Jak wygląda proces zakupowy po stronie klienta
Ankieta rzadko trafia do jednej osoby. Najpierw dostaje ją dział zakupów, potem bezpieczeństwo informacji, a przy większych umowach także dział prawny i inspektor ochrony danych. Każdy z nich czyta inne fragmenty: bezpieczeństwo szuka testów i procesu napraw, prawnicy zapisów o odpowiedzialności, a zakupy po prostu chcą zielonego światła. Odpowiedź o pentest musi więc być zrozumiała dla osoby, która nie jest technikiem.
Dlatego zaczynaj od jednego zdania podsumowania, a szczegóły dawaj w załączniku. Zdanie typu: aplikacja jest testowana z zewnątrz co tydzień, ostatni raport z dnia wskazanego w załączniku nie zawiera uwag krytycznych, uwagi średnie zamykamy w ciągu trzydziestu dni, pozwala zamknąć pytanie na pierwszym etapie. Dział bezpieczeństwa klienta i tak otworzy załącznik, ale zakupy nie będą czekać na jego opinię.
Błędy, przez które ankieta wraca z dopiskami
- odpowiedzi różne w różnych miejscach ankiety, na przykład raz testy co kwartał, raz co rok
- brak daty w załączonym raporcie albo data starsza niż rok
- raport dotyczy strony wizytówki, a produkt działa na innej domenie lub subdomenie
- opis procesu napraw bez terminów, więc nie wiadomo, czy krytyczna luka jest zamykana w dzień czy w miesiąc
- załącznik wysłany w otwartym wątku, co samo w sobie obniża ocenę dojrzałości firmy
Najprościej uniknąć wszystkich pięciu, trzymając jeden aktualny pakiet i kopiując z niego odpowiedzi. Zmiana w procesie testów wymaga wtedy poprawki w jednym miejscu, a nie w kilkunastu wypełnionych ankietach.
Jak Hakowanie wspiera odpowiedzi na ankiety
Każdy tygodniowy test kończy się raportem z datą, zakresem, listą uwag z priorytetem i odniesieniem do NIS2. Historia wyników zostaje w koncie, więc do ankiety możesz załączyć zarówno ostatni raport, jak i ciąg z kilku miesięcy. Szczegóły dla zespołów produktowych są na stronie pentestu aplikacji SaaS, a ceny planów w cenniku, od 590 zł netto miesięcznie.
Test zewnętrzny nie zastąpi ręcznego sprawdzenia uprawnień i logiki aplikacji. Uczciwie zaznacz to w odpowiedzi i dołącz oba dokumenty, jeśli klient o to prosi. Dział bezpieczeństwa lepiej ocenia firmę, która zna granice swoich testów.
Pytania i odpowiedzi
Sprawdź swoją domenę teraz
Wpisz domenę i zobacz w kilkanaście sekund, co widzi atakujący.