Ежегодный пентест описывает систему такой, какой она была в течение двух недель в году. Продукт, который выходит каждую неделю, к моменту чтения отчёта уже другой. Уязвимости, появившиеся в следующем релизе, ждут следующего теста — или того, кто найдёт их раньше.
Непрерывное тестирование следует за циклом релизов. Одни и те же специалисты остаются с вашим продуктом, знают, как он устроен, и проверяют то, что изменилось, тогда, когда оно изменилось. Находки попадают в ваш трекер после подтверждения, а не в конце отчётного периода. Между релизами за периметром следит автоматика; каждый её результат проверяет человек, прежде чем он дойдёт до вас.
01Объём
Что мы проверяем
Тестирование релизов и значимых изменений приложений и API
Плановый пересмотр внешнего периметра
Проверка вновь опубликованных уязвимостей применительно к вашему стеку
Оно его включает. Базовая и периодические углублённые проверки дают отчёт, который запрашивают стандарты вроде PCI DSS, а в письме указывается охваченный период.
Как определяется объём работ?
Как согласованное заранее число дней тестирования в месяц. Дни, не использованные в спокойный месяц, переносятся в пределах квартала.