Gdy brak wewnętrznego zespołu zajmującego się tym tematem, zatrudnia się zewnętrzny podmiot do przeprowadzenia testu penetracyjnego.
Umowa zawiera ramy czasowe oraz zakres pentestu – czyli to co będzie testowane.
Uogólniając: płacimy za spędzony czas a nie za znalezione błędy.
Innym podejściem do tematu jest Bug Bounty.
Tutaj wyrażamy zgodę na testowanie naszej aplikacji szerszej grupie osób.
Co ważne: płacimy im za odnaleziony błąd a nie spędzony czas.
Chociaż to również nie jest zasada.
Można stworzyć program, bez płacenia za błędy.
Jeżeli temat Cię zaciekawił ale nie wiesz czy sprawdzi się w Twojej firmie masz kilka możliwości.
Istnieją zewnętrzne platformy, które pomogą w poprowadzeniu programu.
Posiadają odpowiednią infrastrukturę oraz zbierają osoby zajmujące się bezpieczeństwem z całego świata.
Na początku warto rozpocząć od prywatnego programu.
Jego szczegóły mogą zobaczyć jedynie zaproszone przez nas osoby.
Zdefiniuj zakres – czyli domeny, które chcesz przetestować.
Pomyśl o wykluczeniach – grupach podatności, które niekoniecznie Cię interesują.
Warto przygotować środowisko testowe, oddzielone od produkcyjnych serwerów.
Deleguj osobę do sprawdzania raportów.
To ona będzie Twoim łącznikiem pomiędzy zgłaszającymi a programistami.
Pamiętaj, że nie każdy wpis to rzeczywisty błąd.
Część z nich to duplikaty. Są to te same błędy ale odnalezione przez dwie, różne osoby.
Zaplanuj wolny czas programistów aby mogli przygotować poprawki.
Więcej na ten temat odnajdziesz na blogu.
Materiału możesz również posłuchać w formie podcastu na Google i Apple Podcasts oraz Spotify i Anchor.
Subskrybuj kanał na YouTube
Masz pytanie na temat security? Zadaj je na grupie od 0 do pentestera na Facebooku.
Jeżeli chcesz być wołany do podobnych wpisów na Mirko dodaj się do Mirkolisty.
#bezpieczenstwo #programowanie #informatyka #it #nauka #technologia #ciekawostki #podcast #swiat #gruparatowaniapoziomu #biznes #security