Karşılaştırılabilir Teklif İçin Girdi Seti
Tüm adaylara aynı tarihli ve sürüm numaralı kapsam belgesi gönderilmelidir. Belgedeki açık sorular ve varsayımlar cevaplanmadan gelen toplam tutarlar aynı işi temsil etmeyebilir.
Teklifin kapsamı varlık adedinden fazlasını içermelidir: test türü, ortam, kullanıcı rolü/fonksiyon, kimlikli veya kimliksiz erişim, test penceresi, yasaklı teknikler, rapor dili ve retest beklentisi eforu değiştirir.
Varlık Türü, Adet ve Test Derinliği
“Bir uygulama” veya “bir ağ” efor birimi değildir. Fonksiyon ve rol sayısı, API yüzeyi, kimlikli test ihtiyacı, IP kapsamı, ortam ve manuel doğrulama beklentisi teklif satırlarında ayrı gösterilmelidir.
Web için URL yanında rol, fonksiyon ve API endpoint; ağ için IP aralığı yanında iç/dış konum ve kimlikli tarama; bulut için hesap/abonelik ve izin seviyesi yazılır. Üçüncü taraf varlıklar ve kapsam dışı unsurlar ayrı listelenir.
Teklif Ekinde ROE ve Hariçler
ROE yalnız yasaklı tekniklerin listesi değildir; testin durdurulacağı koşulu ve bu kararı kimin vereceğini de tanımlar. Üçüncü taraf varlık, üretim verisi ve hizmet kesintisi riski için yazılı izin veya açık hariç kaydı aranmalıdır.
Aktif test sınırı, DoS/sosyal mühendislik/veri çıkarma gibi hariçler, üretim penceresi, acil durdurma, kaynak IP ve iletişim modeli teklif ekinde bulunur. Bu sayede fiyat farkı yalnız toplam tutara bakılarak yorumlanmaz.
Teklif kapsamı karşılaştırma checklisti
Aşağıdaki tablo, farklı tekliflerde varlık, test yöntemi, uygulama sınırı ve teslim kalemlerinin aynı kapsam düzeyinde karşılaştırılması için temel kontrolleri özetler:
| Kontrol Alanı | Beklenen Çıktı |
|---|---|
| Varlık | Tür, adet, rol/fonksiyon ve ortam |
| Yöntem | Kimlik, manuel doğrulama ve test türü |
| Sınır | ROE, hariçler, pencere ve acil iletişim |
| Teslim | Rapor, workshop, retest ve veri işleme |