Die vor einem Angebot zu klärenden Fragen
Kosten und Dauer von Penetrationstests für Banken hängen von den Zielsystemen, Rollen, Geschäftsabläufen, Zugangsregelungen und Berichtsanforderungen ab. Allein anhand der Anzahl der Systeme lässt sich der Aufwand nicht bestimmen. Nutzen Sie die folgenden Fragen, um den Umfang vorzubereiten und die Annahmen zu ermitteln, auf die ein Angebot eingehen muss.
Vor einem Auftrag
Was umfasst Penetration Testing im Bankensektor?
Penetrationstests für digitales Banking und APIs; Penetrationstests für Banknetzwerke und privilegierte Identitäten; Tests von Zahlungsabläufen und Autorisierung. Der vereinbarte Umfang legt die konkreten Assets, Rollen, Schnittstellen und Ausschlüsse fest.
Können Sie Produktionssysteme testen?
Verwenden Sie vorbereitete Zahlungen und synthetische Kunden bei deaktivierter Abwicklung. Vereinbaren Sie eine unabhängige Befugnis zum Stoppen, den Transaktionsabgleich, namentlich benannte Systemverantwortliche und Berechtigungen für Drittanbieter-Dienste. Trennen Sie nachgewiesene Änderungen an Entwürfen von nicht ausgeführten Geldtransfers. Tests in der Produktionsumgebung erfordern eine ausdrückliche Vereinbarung; Ergebnisse aus Staging- und Produktionsumgebungen dürfen nicht als austauschbar dargestellt werden.
Ist dies dasselbe wie ein Schwachstellenscan?
Nein. Ein Scan kann die Erkennung unterstützen, aber ein Penetrationstest überprüft ausgewählte Schwachstellen und ihre Folgen in der autorisierten Umgebung. Der Bericht sollte zwischen nicht verifizierten Beobachtungen und nachgewiesenen Feststellungen unterscheiden.
Belegt ein Penetrationstest die Compliance?
DORA gilt für die erfassten Finanzunternehmen, während das gesetzlich geregelte TLPT ein spezifischer Prozess für fortgeschrittene Tests bei ausgewählten Unternehmen ist. Ein Penetrationstest bei einer Bank kann das umfassendere Testprogramm unterstützen, ohne ein DORA-TLPT zu sein. PCI DSS kann für den Umfang der Karteninhaberdaten relevant sein; DSGVO und aufsichtsrechtliche Erwartungen müssen gesondert berücksichtigt werden.
Wie lange dauert ein Auftrag und was kostet er?
Dauer und Gebühren hängen vom Leistungsumfang, den Rollen, den Workflows, den Zugriffsbedingungen, der Beteiligung Dritter sowie den Anforderungen an Berichterstattung und Wiederholungstests ab. Diese Punkte werden im Angebot vereinbart und nicht aus einem allgemeinen Paket abgeleitet.
Was werden wir erhalten?
Ein vereinbartes Abdeckungsprotokoll, technische Feststellungen, Nachweise, Wirkungsgrenzen und ein Behebungsplan. Wiederholungstests und zusätzliche betriebliche Übungen werden in der Leistungsbeschreibung festgelegt.
Handelt es sich bei dem Beispiel um einen echten Kundenbericht?
Nein. Die Megabank AG sowie sämtliche Systeme, Beteiligten und Ergebnisse sind fiktiv. Das Beispiel veranschaulicht die technische Berichterstattung, ohne Kundeninformationen offenzulegen.
Was geschieht mit den für ein Muster eingereichten Angaben?
Atlant Security erhält Ihre Anfrage über sein geschäftliches Postfach, stellt den Browser-Download bereit und kann sich bezüglich Ihrer Anfrage bei Ihnen melden. Sie werden nicht für Marketing angemeldet. Siehe Datenschutzhinweise und Cookie-Hinweise.
Welche Angaben sollen wir in eine Anfrage aufnehmen?
Ihre Organisation, Ihre Rolle, eine allgemeine Beschreibung der Systeme oder Arbeitsabläufe, Ihr Ziel und der voraussichtliche Zeitplan. Senden Sie keine Patientendaten, Zahlungsdaten, Zugangsdaten oder vertraulichen Sicherheitsinformationen über das öffentliche Formular.
