Un penetration test annuale descrive il sistema com’era durante due settimane dell’anno. Un prodotto che rilascia ogni settimana è già un sistema diverso quando il report viene letto. Le vulnerabilità introdotte nella release successiva aspettano il test seguente, o che qualcun altro le trovi.
Il test continuo segue il ciclo di rilascio. Gli stessi specialisti restano sul tuo prodotto, imparano come è costruito e testano ciò che è cambiato, quando cambia. I rilievi arrivano nel tuo tracker quando vengono confermati, non alla fine di un periodo di rendicontazione. Tra una release e l’altra l’automazione sorveglia il perimetro esterno; ogni risultato che produce viene verificato da una persona prima di arrivare a te.
01Perimetro
Che cosa testiamo
Test delle release e delle modifiche significative ad applicazioni e API
Riesame programmato del perimetro esterno
Verifica delle vulnerabilità appena pubblicate rispetto al tuo stack tecnologico
Retest delle correzioni su richiesta
Valutazione approfondita periodica di un componente selezionato
Modellazione delle minacce per le funzionalità pianificate, prima che vengano sviluppate
Riepilogo trimestrale con tendenze e cause alla radice ricorrenti
02Approccio
Come si svolge il lavoro
01
Valutazione iniziale
L’incarico inizia con una valutazione completa del perimetro. Fissa il punto di partenza: lo stato del sistema e la conoscenza che il team ne ha.
02
Ricezione delle modifiche
Ci comunichi le release, oppure ci dai accesso in lettura al registro delle modifiche. Selezioniamo le modifiche che incidono sulla sicurezza e pianifichiamo i test.
03
Test
Le modifiche vengono testate a mano. Tra una release e l’altra l’individuazione automatizzata sorveglia il perimetro esterno e uno specialista verifica ciò che segnala.
04
Consegna
Un rilievo confermato diventa un ticket nel tuo tracker con prove e correzione. Il retest viene avviato dallo stato del ticket.
Probabilità che una vulnerabilità nota venga sfruttata; usata per definire le priorità.
FIRST
06Domande
Domande su questo servizio
È uno scanner automatico in abbonamento?
No. L’automazione si usa per l’individuazione e per la regressione. Il test delle modifiche è manuale, e non ti viene segnalato nulla che uno specialista non abbia verificato.
Il test continuo sostituisce il penetration test annuale?
Lo comprende. La valutazione iniziale e le valutazioni approfondite periodiche producono il report richiesto da framework come PCI DSS, e la lettera indica il periodo coperto.
Come si definisce il volume di lavoro?
Come numero mensile di giorni di test, concordato in anticipo. I giorni non usati in un mese tranquillo si riportano all’interno del trimestre.