Ett årligt penetrationstest beskriver systemet så som det var under två veckor av året. En produkt som släpps varje vecka är ett annat system när rapporten läses. Sårbarheter som införs i nästa release väntar på nästa test, eller på att någon annan hittar dem.
Kontinuerlig testning följer releasecykeln. Samma specialister stannar kvar hos din produkt, lär sig hur den är byggd och testar det som har ändrats, när det ändras. Fynden kommer till ditt ärendehanteringssystem när de är bekräftade, inte i slutet av en rapportperiod. Automatisering bevakar perimetern mellan releaserna; varje resultat den ger verifieras av en människa innan det når dig.
01Omfattning
Vad vi testar
Testning av releaser och betydande ändringar i applikationer och API:er
Schemalagd förnyad granskning av den externa perimetern
Verifiering av nyligen publicerade sårbarheter mot din teknikstack
Omtest av åtgärder vid behov
Periodisk fördjupad granskning av en utvald komponent
Hotmodellering av planerade funktioner innan de byggs
Kvartalssammanfattning med trender och återkommande grundorsaker
02Arbetssätt
Så utförs arbetet
01
Baslinje
Uppdraget börjar med en fullständig granskning av omfattningen. Den fastställer systemets läge och bygger upp teamets kunskap.
02
Mottagning av ändringar
Du meddelar oss om releaser eller ger läsbehörighet till ändringsloggen. Vi väljer ut de ändringar som påverkar säkerheten och planerar testningen.
03
Testning
Ändringarna testas för hand. Mellan releaserna bevakar automatiserad kartläggning perimetern och en specialist verifierar det som den rapporterar.
04
Leverans
Ett bekräftat fynd blir ett ärende i ditt ärendehanteringssystem med bevis och en åtgärd. Omtestet startas av ärendets status.
Sannolikheten att en känd sårbarhet utnyttjas; används för prioritering.
FIRST
06Frågor
Frågor om den här tjänsten
Är det här en automatisk skanner med abonnemang?
Nej. Automatisering används för kartläggning och för regressionstestning. Testningen av ändringar är manuell, och inget rapporteras till dig som en specialist inte har verifierat.
Ersätter kontinuerlig testning det årliga penetrationstestet?
Det ingår. Baslinjen och de periodiska fördjupade granskningarna ger den rapport som ramverk som PCI DSS kräver, och intyget anger den period som omfattas.
Hur bestäms arbetsmängden?
Som ett antal testdagar per månad, överenskommet i förväg. Dagar som inte används under en lugn månad förs över inom kvartalet.