Checklist di preparazione ai test di penetrazione per banche: prima dell'inizio dei test

Eliminare i ritardi evitabili prima del test

Prima di testare app bancarie, API di pagamento e accessi privilegiati, confermate i referenti nominativamente individuati, gli ambienti autorizzati, gli accessi rappresentativi e i contatti per interrompere i test. La mancanza di accessi o permessi ambigui può ridurre la copertura utile. Esaminate la lista di controllo con i referenti tecnici e operativi prima di concordare la data di avvio.

Definire l’obiettivo

• Stabilisca quali modifiche possa effettivamente apportare un canale o un’identità di servizio compromessi, dove intervengono i controlli indipendenti e quali correzioni debbano avere priorità.
• Indicare i responsabili del servizio e la decisione che il test deve supportare.
• Selezioni le applicazioni, le reti, le identità e le integrazioni incluse nell’ambito.

Definire l’autorizzazione

• Ottenete un’autorizzazione scritta per ogni ambiente di vostra proprietà.
• Confermare i confini tra fornitori e piattaforme condivise.
• Registrare i metodi vietati e i sistemi fuori ambito.

Preparate il piano operativo

• Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti.
• Indicare un responsabile principale e un sostituto autorizzati a interrompere l’attività.
• Concordare comunicazioni, finestre temporali, limiti delle richieste ed escalation degli incidenti.

Preparate accessi rappresentativi

• Create record sintetici e ruoli di test dedicati.
• Documentare le decisioni previste in materia di accesso tra tenant e accesso privilegiato.
• Predisporre un canale riservato per le informazioni tecniche.

Pianificare la consegna e la chiusura

• Concordare i requisiti relativi ad ambito, evidenze, rendicontazione e conservazione.
• Assegnare i responsabili delle correzioni e includere i criteri per i nuovi test.
• Riconciliare gli account, le sessioni e gli oggetti canary introdotti.