Che cosa rientra nell’ambito?
Due preventivi sono confrontabili solo se coprono lo stesso lavoro. Per un penetration test bancario, elencate le applicazioni bancarie, le API di pagamento e gli accessi privilegiati, definendo anche i ruoli, gli ambienti e le operazioni aziendali da testare. Specificate quali evidenze vi aspettate, quali azioni sono vietate e se la richiesta include un nuovo test.
Associare i servizi alle dipendenze
Un’applicazione di supporto può diventare un punto d’ingresso verso credenziali CI e un’identità di pagamento con privilegi eccessivi. Un servizio di firma separato può comunque impedire il rilascio. Una valutazione utile spiega ogni passaggio, invece di affermare che l’intera banca è stata compromessa sulla base di un singolo host vulnerabile.
Elencare prima i servizi aziendali o assistenziali, quindi mappare le applicazioni, i sistemi di identità, le reti e i fornitori che li supportano. Registrare quale responsabile può autorizzare ciascun componente. Il solo numero di domini non descrive i limiti di autorizzazione né le conseguenze operative.
Preparate ruoli e dati rappresentativi
Fornire identità dedicate con ruoli documentati e autorizzazioni attese note. Utilizzare più di un tenant, cliente o unità organizzativa quando i confini rientrano nell’obiettivo. Contrassegnare gli oggetti canary affinché chi esegue i test e i responsabili possano distinguerli dai record reali.
Selezioni le aree di valutazione
Sta testando un'app rivolta ai clienti? Parta dall'ambito dei test di penetrazione delle app bancarie, che comprende versioni mobile, servizi di banking online, dipendenze API e ruoli cliente rappresentativi.
- Penetration test per digital banking e API: La titolarità del conto, l’autorità delegata e lo stato delle transazioni definiscono un modello di autorizzazioni più articolato del solo accesso. API alternative, esportazioni e funzioni di back office devono applicare le stesse regole aziendali.
- Test delle reti bancarie e delle identità privilegiate: Le eccezioni di gestione, gli artefatti di build e i ruoli di servizio condivisi possono collegare zone altrimenti separate. Il risultato importante è l’autorità ottenuta al termine di un percorso, non soltanto il numero di host raggiunti.
- Test dei flussi di pagamento e delle autorizzazioni: Un controllo di doppia approvazione può sembrare corretto nell’interfaccia utente, mentre un principal di servizio può richiamare entrambe le operazioni. Il pubblico del token, l’ambito dell’operazione e la versione della transazione devono restare vincolati alla policy aziendale.
Concordare le condizioni di test
Utilizzare pagamenti predisposti e clienti sintetici con il regolamento disattivato. Concordare un'autorità indipendente con facoltà di arresto, la riconciliazione delle transazioni, i responsabili dei sistemi identificati e le autorizzazioni per i servizi di terze parti. Distinguere le modifiche dimostrate alle bozze dai trasferimenti di fondi non eseguiti.
- Origini dei test, destinazioni e interfacce consentite designate.
- Finestre temporali, limiti di frequenza e metodi esclusi approvati.
- Consenso delle terze parti, referenti per il controllo e autorità di arresto.
- Responsabilità per la gestione delle evidenze, la pulizia, la rendicontazione e le verifiche di retest.
Rendere visibili le modifiche
Registrare i rilasci, i nuovi percorsi e le modifiche alle autorizzazioni durante il test. Se un percorso imprevisto raggiunge un sistema al di fuori dell’ambito autorizzato, sospendere il test e chiarire l’ambito con il responsabile decisionale designato. Indicare le dipendenze non testate nella dichiarazione finale di copertura.
Preparare un brief prima della chiamata di definizione dell’ambito
Descrivete l’operatività bancaria da proteggere e il confine che il test deve verificare. Un incarico efficace distingue tra accesso ai canali, approvazione dei pagamenti e autorità per disporne l’effettiva esecuzione.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione bancaria per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
