Come confrontare le proposte in modo equo
Chieda a ciascun fornitore di formulare un prezzo per le stesse app bancarie, API di pagamento e accessi privilegiati e di spiegare le ipotesi relative a ruoli, accessi, ambienti e finestre di test. Richieda evidenze pertinenti sull’esperienza del team incaricato e un esempio di report. Confronti le attività proposte di test e retest prima di confrontare le tariffe giornaliere: il prezzo più basso potrebbe riferirsi a un incarico diverso.
Valutare il lavoro proposto e il team
Richiedete i ruoli nominativi del team di erogazione, l’esperienza pertinente, la disponibilità e le prove a sostegno di eventuali dichiarazioni professionali. Verificate se sono coinvolti subappaltatori e come vengono gestiti l’indipendenza e i conflitti di interesse. Questo sito web non avanza affermazioni non verificate su certificazioni o accreditamenti.
L’integrità dei pagamenti richiede più di una chiamata API riuscita. Distinguiamo tra una bozza modificata, un’approvazione accettata e un’esecuzione negata, e documentiamo i controlli che restano efficaci.
Specificare la proposta
- Obiettivi, sistemi, ruoli, scenari ed esclusioni esplicite.
- Finestre operative, controlli di sicurezza, dati di test e autorizzazioni dei fornitori.
- Responsabilità designate per l’escalation degli incidenti e le decisioni di interruzione.
- Trasferimento sicuro, conservazione, riservatezza e trattamento delle evidenze.
- Rendicontazione, confronti sulle correzioni, test di verifica inclusi e controllo delle modifiche.
Esaminare la sostanza di un esempio
Cercare osservazioni concrete e criteri di accettazione verificabili. Un risultato di scansione senza convalida o una descrizione di attacco senza limiti di ambito sono difficili da utilizzare. Confrontare il livello di dettaglio tecnico dell’esempio con i risultati che la proposta si impegna a fornire.
Il nostro esempio di Megabank AG è chiaramente fittizio ed è disponibile per questa valutazione.
Comprendere i criteri alla base della durata e dei costi
Sistemi, dimensioni, ruoli, logica aziendale, terze parti e finestre operative determinano il lavoro. Non esiste un pacchetto pubblico a prezzo fisso né un tempo di completamento garantito. La descrizione del lavoro concordata dovrebbe indicare ipotesi, inclusioni, disponibilità per ripetere i test e impatto delle modifiche sulla pianificazione.
Confermare il piano operativo
Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti.
Preparare un brief prima della chiamata di definizione dell’ambito
Descrivete l’operatività bancaria da proteggere e il confine che il test deve verificare. Un incarico efficace distingue tra accesso ai canali, approvazione dei pagamenti e autorità per disporne l’effettiva esecuzione.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione bancaria per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
