Che cosa comporta per il suo test
Anche una chiamata API autenticata può essere non autorizzata. Confronti le identità di clienti, personale e servizi usando lo stesso account o la stessa istruzione sintetica. Verifichi separatamente le operazioni di lettura, aggiornamento e approvazione e controlli lo stato a valle, senza affidarsi al solo codice di risposta.
Il confine da sottoporre a test
La titolarità dell’account, l’autorità delegata e lo stato delle transazioni creano un modello di autorizzazioni più articolato del solo accesso. Le stesse regole aziendali devono valere per le API alternative, le esportazioni e le funzioni di back office.
Un’applicazione di supporto può diventare un punto d’ingresso verso credenziali CI e un’identità di pagamento con privilegi eccessivi. Un servizio di firma separato può comunque impedire il rilascio. Una valutazione utile spiega ogni passaggio, invece di affermare che l’intera banca è stata compromessa sulla base di un singolo host vulnerabile.
Cosa può includere l’ambito
- Autorizzazione a livello di account e di oggetto cliente
- Ciclo di vita della sessione, ripristino e transizioni dei ruoli del personale
- Bozze di pagamento, modifiche dei beneficiari e limiti di approvazione
- Esportazioni, elaborazione di file e operazioni API di back office
La proposta definitiva individua le applicazioni, gli account, gli ambienti e le interfacce specifici inclusi. Indica inoltre i prerequisiti che il vostro team o un fornitore deve mettere a disposizione.
Se la valutazione deve includere anche il dispositivo o il browser del cliente, includete un test di penetrazione dell’app bancaria. Oltre all’ambito dell’API di supporto, comprende il client concordato per iOS, Android o web, la gestione locale dei dati e i flussi di registrazione dei dispositivi.
Come si presenta una prova utile
Utilizzare clienti sintetici con relazioni controllate e una transazione predisposta. Verificare le richieste che modificano lo stato tramite una rilettura indipendente e i registri di audit, includendo l'identità responsabile dell'operazione.
Conservate l’ora UTC, l’identificativo dell’asset, il soggetto richiedente, la decisione attesa e la risposta osservata. I test che modificano lo stato richiedono una conferma nell’oggetto risultante o in un record di audit attendibile. Anche le operazioni negate e i controlli efficaci fanno parte dell’esito.
Misure di sicurezza e limiti della valutazione
Di norma il test non dispone trasferimenti di fondi reali. SWIFT, i circuiti di carte, i servizi di clearing e i fornitori condivisi richiedono un’inclusione esplicita nell’ambito e la relativa autorizzazione.
Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti.
Chiudere il ciclo
Collegare ogni debolezza a un responsabile nominativo, a una misura di salvaguardia immediata e a una correzione duratura. Definire casi di ripetizione del test positivi e negativi affinché la modifica ripristini il confine previsto preservando al contempo l’uso legittimo. Gli elementi aperti mantengono le relative dipendenze e scadenze.
Consulti il rapporto di esempio del settore per vedere il formato delle evidenze e del piano di trattamento.
