Ar jūsų saugumas auga kartu su verslu?
Kai produktas plečiasi, daugėja naujų funkcijų, integracijų ir prieigų. Reguliariai peržiūrime naujus release’us, API pakeitimus, kodą ir infrastruktūrą, kad saugumo rizikos neliktų nepastebėtos.
APINaujas Endpointas Be AutorizacijosKRITINĖ
WEBAutorizacijos RegresijaAUKŠTA
CODESlaptas Raktas KodeAUKŠTA
NETWORKNaujas Viešas ServisasVIDUTINĖ
Tyla prieš audrą
Vienas release'as gali tapti incidento pradžia
Augant produktui, saugumo problemos retai apie save praneša. Jos slepiasi tarp naujų funkcijų, integracijų ir prieigos kelių, kol vieną dieną tampa realiu verslo incidentu.
R1
Naujas endpointas be autorizacijos
Po release'o atsiradęs endpointas grąžina kito kliento užsakymus, nes autorizacijos patikra liko tik frontend pusėje.
Klientų
Duomenys
IDOR
Rizika
R2
Naujas mokėjimo metodas apeina kainos validaciją
Pridėjus naują atsiskaitymo būdą, nuolaidos ar valiutos perskaičiavimas gali būti patikrinamas ne tame žingsnyje ir leisti apmokėti mažesnę sumą.
Kaina
Rizika
Checkout
Srautas
R3
Sena admin rolė palikta aktyvi
Komandai augant, testinė ar buvusio darbuotojo rolė lieka su per plačiomis teisėmis ir gali pasiekti jautrias administravimo funkcijas.
Admin
Teisės
Sena
Rolė
Kaip neleidžiame rizikai kauptis?
Pasirenkame modelį
Nusprendžiame, kas svarbiausia: web/API/mobile testavimas, saugaus kodo peržiūra, infrastruktūra ar kelių sričių kombinacija.Sutariame ritmą
Apibrėžiame mėnesines valandas, komunikacijos kanalą, prieigas, peržiūros dažnį ir kokie pakeitimai patenka į apimtį.Tikriname pokyčius
Peržiūrime naują funkcionalumą, API pakeitimus, pull request, infrastruktūros pokyčius arba naujai atsiradusį atakos paviršių.Pristatome rizikas
Parodome, kas gali kelti realią grėsmę produktui, naudotojams, duomenims ar veiklos tęstinumui.Planuojame veiksmus
Sutariame, ką taisyti pirmiausia, ką patikrinti pakartotinai ir į ką fokusuotis kitame priežiūros cikle.Kokią vertę gausite?
Mėnesinė rizikų santrauka
Trumpai parodome, kas per ciklą buvo vertinta, kokios rizikos svarbiausios ir kas pasikeitė.
Prioritetizuoti radiniai
Rizikos pateikiamos pagal realų poveikį produktui, naudotojams, duomenims ir verslo procesui.
Rekomendacijos komandai
Rekomendacijos orientuotos į aiškius veiksmus kode, konfigūracijoje, architektūroje arba procese.
Release rizikos mažinimas
Padedame įvertinti rizikas tada, kai jos atsiranda, o ne tik po ilgo laiko tarpo.
Aptarimas su CTO / tech lead
Reguliariai aptariame prioritetus, pataisymus, pakartotinį patikrinimą ir kitą saugumo darbo kryptį.
Pakartotinis patikrinimas
Po pataisymų galima patikrinti, ar svarbiausios problemos išspręstos ir rizika sumažinta.
Planai
Essential
Reguliarus saugumo įsitraukimas mažoms komandoms.
- 8 val. / mėn.
- Prioritetinių rizikų peržiūra
- Web, API, mobile arba kodo peržiūra
- Trumpa mėnesinė santrauka
- Rekomendacijos techninei komandai
Business
Aktyviai vystomiems produktams ir reguliariems release'ams.
- Viskas iš Essential plano
- 20 val. / mėn.
- Mėnesinis tinklo skenavimas
- Retest po pataisymų
- Prioritetinė komunikacija
Enterprise
Didesniam attack surface ir glaudesniam saugumo įsitraukimui.
- Viskas iš Business plano
- 40+ val. / mėn.
- Savaitinis tinklo skenavimas
- Įtartinų saugumo signalų peržiūra
- Nutekėjusių duomenų ir prisijungimų stebėsena
* Planas pradeda veikti iškart po sutarties pasirašymo. Gavus apmokėjimą, sutartį sudarysime per 1-2 darbo dienas.
Dažniausi klausimai
Kuo nuolatinė saugumo priežiūra skiriasi nuo vienkartinio įsilaužimo testavimo?
Vienkartinis testavimas įvertina pasirinktą momentą. Nuolatinė saugumo priežiūra vyksta reguliariai pagal produkto pakeitimus, todėl rizikos aptinkamos arčiau jų atsiradimo momento.
Ar priežiūra gali apimti tik vieną sritį?
Taip. Galima rinktis tik web/API testavimą, tik saugaus kodo peržiūrą, tik infrastruktūrą arba kelių sričių kombinaciją pagal komandos poreikį.
Kiek valandų per mėnesį reikia?
Mažai komandai dažnai pakanka 8 val. per mėnesį periodinei peržiūrai. Aktyviai vystomam SaaS ar API produktui dažniau tinka 16 val., o didesniam attack surface arba dažniems release'ams planuojama 32+ val.
Ar gausime aiškų rezultatą kiekvieną mėnesį?
Taip. Rezultatas gali būti radinių sąrašas, trumpa rizikų santrauka, rekomendacijos komandai, pakartotinio patikrinimo išvada arba kito ciklo prioritetai.
Nežinote kuris planas tinkamiausias?
Parašykite trumpai apie produktą, komandą ir release ritmą. Per 30 min. konsultaciją padėsime įsivertinti, ar jums užtenka periodinės peržiūros, ar reikia aktyvesnio saugumo įsitraukimo.