Quale servizio intende commissionare?
Un’attività di penetration testing per una banca efficace parte da una decisione aziendale: quale accesso o operazione non deve poter ottenere un attaccante? Definite i ruoli dei clienti, gli stati di approvazione dei pagamenti e le operazioni privilegiate, quindi concordate come il test dovrà dimostrare il risultato. La proposta dovrebbe indicare separatamente ambito, esclusioni, responsabilità di esecuzione, contenuti del rapporto e eventuali retest.
Iniziate dalla decisione in materia di sicurezza
Stabilisca quali modifiche possa effettivamente apportare un canale o un’identità di servizio compromessi, dove intervengono i controlli indipendenti e quali correzioni debbano avere priorità.
L’integrità dei pagamenti richiede più di una chiamata API riuscita. Distinguiamo tra una bozza modificata, un’approvazione accettata e un’esecuzione negata, e documentiamo i controlli che restano efficaci.
Un’applicazione di supporto può diventare un punto d’ingresso verso credenziali CI e un’identità di pagamento con privilegi eccessivi. Un servizio di firma separato può comunque impedire il rilascio. Una valutazione utile spiega ogni passaggio, invece di affermare che l’intera banca è stata compromessa sulla base di un singolo host vulnerabile.
Un ambito concordato, non una scansione senza limiti
Definiamo i sistemi, le identità, i flussi di lavoro e le interfacce necessari per rispondere agli obiettivi della valutazione. Prima di avviare attività operative occorrono l’autorizzazione scritta, il permesso delle terze parti, gli account di test e un insieme di dati concordato. La proposta registra inclusioni, esclusioni e dipendenze.
Per i flussi su iOS, Android e online banking, il nostro test di penetrazione delle app bancarie collega la sicurezza del client alle verifiche del recupero degli account, dell’isolamento dei clienti e dell’autorizzazione dei pagamenti.
- Penetration test per digital banking e API — Verificate le autorizzazioni di clienti, personale e servizi all’interno del perimetro dell’applicazione bancaria.
- Test delle reti bancarie e delle identità privilegiate — Collega i punti di accesso esterni ai percorsi di fiducia interni rilevanti.
- Test dei flussi di pagamento e delle autorizzazioni — Verificate chi può predisporre, modificare, approvare e disporre un pagamento.
Domande a cui il test può rispondere
- Un servizio di supporto esterno può esporre un’identità interna di workload?
- Un servizio di pagamento può modificare e approvare la stessa transazione predisposta?
- Un’identità del fornitore può mantenere l’accesso alla gestione del ripristino dopo la revoca delle autorizzazioni?
Questi sono esempi utili a definire l’ambito, non l’affermazione che ogni incarico includa tutti i metodi o sistemi. Il piano di test definitivo documenta le azioni consentite, i risultati attesi e le osservazioni necessarie a supportare ciascuna conclusione.
Le misure di salvaguardia operative fanno parte del metodo
Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti.
I test possono comportare rischi. Concordi chi può sospendere le attività, quali condizioni attivano un’escalation e come distinguere gli incidenti reali dalle attività dell’esercitazione. L’invio di una richiesta tramite questo sito web non autorizza alcun test.
Dai rilievi alle azioni verificate
Riceverà una sintesi per la direzione, una documentazione tecnica con ambito definito, rilievi riproducibili e un registro degli interventi correttivi. Ogni rilievo dovrebbe illustrare il risultato osservato, l’accesso o l’operazione dimostrati, i relativi limiti e una prova di accettazione pratica. Ambito e tempistiche del nuovo test sono concordati nella descrizione delle attività.
Esamini l’esempio di Megabank AG o consulti i risultati del lavoro prima di discutere i suoi requisiti.
Preparare un brief prima della chiamata di definizione dell’ambito
Descrivete l’operatività bancaria da proteggere e il confine che il test deve verificare. Un incarico efficace distingue tra accesso ai canali, approvazione dei pagamenti e autorità per disporne l’effettiva esecuzione.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione bancaria per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
