Un audit de securitate înseamnă că lăsați pe cineva să încerce să atace sistemele firmei. Merită să știți exact cine este și cum lucrează. Iată întrebările pe care le recomand înainte de a semna.
1. Puteți să-mi arătați un raport de exemplu?
Un raport anonimizat arată mai mult decât orice prezentare: dacă are rezumat pentru conducere, dacă fiecare constatare are dovezi și pași de remediere, dacă e scris pentru oameni sau doar exportat dintr-un program.
2. Cât din test este manual?
Instrumentele automate sunt parte din orice test, dar valoarea vine din verificarea manuală. Un răspuns vag aici este un semnal de alarmă.
3. Cine face efectiv testul?
Aflați dacă persoana cu care discutați este și cea care testează sau dacă lucrarea este subcontractată mai departe.
4. Cum stabiliți perimetrul și acordul scris?
Un furnizor serios nu începe fără un document care descrie exact ce se testează, în ce interval și cu ce restricții. Testarea fără acord este ilegală, chiar dacă o cere cineva din firmă verbal.
5. Ce se întâmplă cu datele accesate în timpul testului?
În timpul testului pot fi atinse date reale. Întrebați cum sunt protejate, cât timp sunt păstrate și cum sunt șterse după finalizare. Un acord de confidențialitate este normal.
6. Ce faceți dacă găsiți ceva grav în timpul testului?
Răspunsul corect: vă anunță imediat, nu după două săptămâni, în raportul final.
7. Ce urmează după raport?
Discuția de prezentare a rezultatelor, retestarea după remediere și eventual ajutorul la remediere. Nu toate ofertele le includ.
O notă despre certificări
Un audit de securitate nu vă aduce o certificare ISO 27001. Certificarea este acordată numai de organisme de certificare acreditate. Dacă cineva promite „certificare inclusă” la un pentest, cereți lămuriri.