Sızma testi teklif sürecinde kapsamı netleştirip iş etkisine göre önceliklendirilmiş güvenlik yol haritası çıkarıyoruz.
Çalışmada varlık türü/adedi ve ortam, kullanıcı rolü, erişim ve test türü, test penceresi ile yasaklı teknikler ve rapor, workshop ve retest beklentisi birlikte değerlendirilir; Remediation Planı ve Retest Kapanış Döngüsü ile Raporlama Formatı ve Yönetim Özeti başlıkları ölçülebilir karar ve kabul ölçütlerine dönüştürülür. Nihai kapsam, erişilebilir veri, istisnalar ve teklif aşamasında doğrulanan sorumluluklara göre yazılır.
Satın alma kararını kolaylaştıran teknik rehberleri inceleyerek proje kapsamınızı netleştirebilirsiniz.
Sızma testi için karşılaştırılabilir ve sürpriz kapsam değişikliği üretmeyen bir teklif hazırlamak isteyen satın alma, güvenlik ve uygulama ekipleri için uygundur. Fiyat; yalnız IP veya URL sayısına değil test türü, erişim seviyesi, ortam ve doğrulama derinliğine bağlıdır.
Teklif girdileri varlık türü/adedi, web/API rol ve fonksiyonları, iç/dış ağ, kimlikli/kimliksiz test, test penceresi, üretim kısıtları, sosyal mühendislik hariç/dahil durumu, rapor dili ve retest şartını kapsar. ROE teklif ekine dönüştürülür.
Hipotetik iki teklif aynı ‘bir web uygulaması’ ifadesini kullanır; birinde yalnız anonim dış yüzey, diğerinde üç kullanıcı rolü ve API akışları vardır. Fonksiyon, rol, endpoint ve erişim modeli ayrıştırılmadan teklifler efor ve kapsama göre karşılaştırılamaz.
Teklifte bulgu workshop’u, aksiyon takibi veya retest varsa bunların süresi, kapsamı ve kapanış ölçütü ayrı kalem olarak yazılır. Dahil olmayan faaliyetler görünür biçimde listelenir; retest otomatik hak olarak varsayılmaz.
Teslim formatı teknik kanıt, risk gerekçesi, yönetim özeti ve varsa ham tarama eklerinin nasıl paylaşılacağını açıklar. Hassas kanıtın saklama, aktarım ve silme yöntemi teklif öncesinde kararlaştırılır.
varlık türü/adedi ve ortam, kullanıcı rolü, erişim ve test türü, test penceresi ile yasaklı teknikler, rapor, workshop ve retest beklentisi karar kaydına kaynak, tarih ve sahip bilgisiyle alınır. Doğrulanamayan noktalar varsayım veya veri eksiği olarak teklif ve uygulama planında ayrı tutulur.
Girdi toplama, kapsam mutabakatı, ROE ve teklif oluşturma sıralanır; süre eksiksiz varlık ve erişim bilgisine bağlıdır. Her değişiklik için uygulama sahibi ve geri alma koşulu yazılır; operasyon devri teklif kontrolünde kapsam kalemleri, hariçler, roe, veri işleme, teslim ve retest koşulları iki tarafça aynı ifadelerle doğrulanır.
Başlangıçta varlık türü/adedi ve ortam, kullanıcı rolü, erişim ve test türü, test penceresi ile yasaklı teknikler ve rapor, workshop ve retest beklentisi hazırlanır; eksik veya doğrulanmamış veri teklif varsayımı olarak açıkça işaretlenir.
Teklif kontrolünde kapsam kalemleri, hariçler, ROE, veri işleme, teslim ve retest koşulları iki tarafça aynı ifadelerle doğrulanır.
Girdi toplama, kapsam mutabakatı, ROE ve teklif oluşturma sıralanır; süre eksiksiz varlık ve erişim bilgisine bağlıdır.
