Набор исходных данных для сопоставимых предложений
Всем кандидатам нужно отправлять один и тот же документ об объёме с одинаковой датой и номером версии. Итоговые суммы, полученные до ответов на открытые вопросы и допущения документа, могут описывать разную работу.
Объём предложения должен включать больше, чем число активов: трудоёмкость меняют тип теста, среда, роли и функции пользователей, доступ с учётными данными или без них, окно тестирования, запрещённые техники, язык отчёта и ожидания по повторной проверке.
Тип и число активов и глубина теста
«Одно приложение» или «одна сеть» — не единица трудоёмкости. Количество функций и ролей, поверхность API, потребность в тесте с учётными данными, охват IP, среда и ожидаемый объём ручной проверки должны указываться в предложении отдельными строками.
Для веба помимо URL записываются роли, функции и конечные точки API; для сети помимо диапазона IP — внутреннее или внешнее расположение и сканирование с учётными данными; для облака — учётные записи и подписки и уровень прав. Активы третьих сторон и исключённые элементы перечисляются отдельно.
ROE и исключения в приложении к предложению
ROE — это не только список запрещённых техник: документ определяет условие остановки теста и того, кто принимает это решение. Для активов третьих сторон, рабочих данных и риска прерывания сервиса нужно получать письменное разрешение или явную запись об исключении.
Границы активного тестирования, исключения вроде DoS, социальной инженерии или выгрузки данных, окно в рабочей среде, экстренная остановка, исходные IP и модель коммуникации включаются в приложение к предложению. Благодаря этому разница в цене не оценивается только по итоговой сумме.
Чек-лист сравнения объёма предложений
Таблица ниже обобщает основные проверки для сравнения активов, метода тестирования, границ и результатов в разных предложениях на одном уровне объёма:
| Область контроля | Ожидаемый результат |
|---|---|
| Актив | Тип, количество, роли и функции, среда |
| Метод | Идентификация, ручная проверка и тип теста |
| Границы | ROE, исключения, окно и экстренная связь |
| Результаты | Отчёт, семинар, повторная проверка и обращение с данными |