Os testes de penetração tornou-se um elemento essencial para as empresas que procuram manter uma postura de segurança cibernética robusta. Mas se você está encomendando um teste pela primeira vez, então você tem o desafio de escolher o fornecedor direito.
O teste de caneta é uma habilidade muito especializada que requer qualificação, profissionais experientes, então é importante que você se sinta confiante nas pessoas que você confiança para realizar uma avaliação.
Depois de tudo, você pode ser obrigado a fornecer a um testador acesso a sistemas e dados confidenciais. Aqui estão algumas das perguntas-chave que você precisa fazer a um provedor de pen test para tornar os processos de tomada de decisão o mais livres de estresse possível.
Eles têm certificação relevante?
É vital que você confie no seu fornecedor de teste de caneta para concluir o trabalho com a mais alta técnica, padrões legais e éticos. A primeira coisa que você precisa olhar para obter a garantia de que precisa, é se o provedor é totalmente treinado e qualificado nos serviços que oferece.
Procure provedores de pen test que são CREST-credenciado e empregar hackers éticos que possuam uma gama de certificações profissionais. Isso não só ajudará a demonstrar que eles têm um bom conhecimento das técnicas de hacking mais recentes, mas podem ser confiáveis para realizar avaliações com segurança, sem danos e interrupções em seus sistemas.
Eles podem realizar uma grande variedade de testes?
Deve-se notar que existem muitos tipos diferentes de testes de penetração. A maioria das empresas exige uma variedade de testes diferentes para identificar exposições internas e externas, bem como aqueles especificamente relacionados a redes, sistemas e aplicações.
Isso significa que você se beneficiará mais de uma equipe de pen testers que possuem as habilidades e experiência para conduzir uma ampla gama de avaliações. Isso inclui caixa branca, teste de caixa preta e caixa cinza. Alguns provedores de pen test dependem muito da automação para realizar avaliações, portanto, é importante verificar o nível de teste manual que será realizado como parte de uma avaliação.
Um pen test nem sempre consiste em identificar muitas vulnerabilidades de baixo nível, bastante mais de alto risco que as ferramentas de varredura são incapazes de detectar.
Eles têm um bom histórico?
Um provedor de teste de caneta experiente terá uma boa reputação no campo da segurança cibernética, então é uma ótima ideia verificar se a empresa pode fornecer uma variedade de referências de clientes e depoimentos de organizações semelhantes à sua.
Se um fornecedor não puder provar que realizou um trabalho de alto padrão para outras empresas, então vá embora. Você não deve se contentar com um trabalho de baixa qualidade quando há muitos fornecedores confiáveis disponíveis.
Eles têm conhecimento específico da indústria?
É vital estabelecer se o provedor tem experiência de trabalho com organizações em seu setor específico, pois isso pode influenciar se eles são capazes de realizar testes completos.
Por exemplo, quão familiarizados são os testadores de um fornecedor com software ou aplicativos específicos que são comumente usados em empresas como a sua? Eles estão cientes dos riscos de testar a infraestrutura especializada, como aqueles usados na área financeira, setores de saúde e manufatura?
Eles relatam e fornecem feedback?
Ao falar com um provedor, é importante estabelecer não apenas como o teste de penetração será conduzido, mas também que tipo de feedback você receberá e como será comunicado. Muitos testadores são capazes de realizar testes, mas nem sempre fornecem o nível de feedback de que você precisa para priorizar e abordar quaisquer riscos identificados.
Você deve escolher um fornecedor que irá entregar um relatório pós-avaliação abrangente adequado para partes interessadas técnicas e não técnicas. Sempre peça para ver uma amostra.
Eles são flexíveis?
Dado que o teste de penetração provavelmente envolve o teste de sistemas e infraestrutura importantes, você precisa garantir que escolheu um provedor de teste de caneta que seja flexível para as necessidades de negócios. Por exemplo, o teste pode ser realizado tanto no local quanto remotamente, bem como fora do horário normal de expediente.
Eles oferecem um novo teste grátis?
Finalmente, considere o que acontece após o seu teste de penetração. Sua empresa provavelmente precisará tomar medidas para resolver as vulnerabilidades identificadas, mas como você sabe se essas medidas são eficazes? Muitas empresas tomam medidas para resolver o problema, mas nunca valide os resultados das mudanças, o que significa que eles podem não funcionar em um ataque real.
Sempre pergunte a um provedor se ele oferece a opção de um re–teste para ajudar a ter confiança de que todas as alterações feitas são eficazes.
Sobre o autor: Chester Avey
Chester Avey tem mais de uma década de experiência em consultoria de segurança cibernética e crescimento do negócio. Ele gosta de compartilhar seu conhecimento com outros profissionais afins através de sua escrita. Descobrir o que mais Chester tem sido até no Twitter: @ Chester15611376.
