Пентест для SaaS-стартапу: коли він потрібен і як пройти анкети безпеки клієнтів?

SaaS-стартапу потрібен незалежний пентест, щойно перший корпоративний клієнт просить звіт про тестування безпеки або надсилає анкету безпеки, а наймати варто виконавця, який вручну перевірить ваш вебзастосунок і API (інтерфейс обміну даними між програмами), особливо ізоляцію даних між клієнтами, і після виправлень дасть звіт та лист про пентест. SOC 2 і ISO 27001 показують, як компанія керує безпекою загалом, тому на старті зазвичай вистачає свіжого пентесту з повторною перевіркою, чесно заповненої анкети і плану сертифікації зі строками.

Нижче простими словами: що означають SOC 2 і ISO 27001, що питають у типовій анкеті, що показати у відповідь і як перевірити, що один клієнт ніколи не побачить даних іншого. Як влаштована сама перевірка вебзастосунку і API, я розповідаю окремо в статті тест безпеки сайту та API.

Коротко

• Пентест означає ручну перевірку продукту з позиції зловмисника: фахівець шукає, як дістатися чужих даних або обійти права доступу.
• SOC 2 і ISO 27001 не замінюють пентест. Вони про процеси компанії, а пентест про те, чи справді захищений ваш продукт.
• Головне для SaaS: один клієнт ніколи не повинен бачити дані іншого. Цю ізоляцію перевіряють першою.
• Повний звіт пентесту клієнтам не пересилають. Зазвичай достатньо листа про пентест і статусу виправлень.
• Чесне «частково, плануємо до березня» в анкеті краще за «так», яке не підтвердиться на аудиті.

Коли SaaS-стартапу потрібен пентест

Найчастіше привід зовнішній: хтось важливий для бізнесу просить доказ, що продукт перевіряли незалежно. Типові моменти:

• перший корпоративний клієнт, банк чи держструктура надсилає анкету безпеки;
• виходите на ринок ЄС або США, і партнер просить звіт про незалежне тестування;
• готуєтеся до SOC 2 чи ISO 27001, і аудитор питатиме, як ви шукаєте вразливості;
• великий реліз: новий API, нові ролі, SSO (вхід через корпоративний акаунт), інтеграції з чужими системами;
• інвестор перед раундом ставить запитання про безпеку продукту.

Якщо жодного з цих приводів немає, а продукт ще змінюється щотижня, почніть із простішого: зовнішнього огляду того, що видно з інтернету. Повний пентест плануйте перед першою великою угодою, щоб звіт був свіжим саме тоді, коли його попросять.

SOC 2 і ISO 27001 простими словами

SOC 2 означає звіт незалежного аудитора про те, як компанія контролює безпеку свого сервісу. Його готує ліцензований аудитор у США (CPA) за критеріями AICPA, американської асоціації аудиторів: безпека, доступність, цілісність обробки, конфіденційність і приватність. ^{[1] [2]} Звіт Type 1 описує, як контролі влаштовані на певну дату, а Type 2 показує, як вони реально працювали протягом періоду, зазвичай кількох місяців.

ISO/IEC 27001 означає міжнародний стандарт системи управління інформаційною безпекою: як компанія оцінює ризики, призначає відповідальних і постійно покращує захист. Чинна редакція ISO/IEC 27001:2022 вийшла в жовтні 2022 року. ^[3] Сертифікат видає орган сертифікації після аудиту.

На практиці SOC 2 частіше просять клієнти зі США, ISO 27001 частіше в Європі. Обидва описують процеси і не відповідають на запитання, чи можна зламати саме ваш API. Тому навіть компанії із сертифікатом регулярно замовляють пентест, а аудитори обох стандартів очікують бачити, що ви тестуєте продукт і виправляєте знахідки.

Що питає анкета безпеки і що показати

Анкета безпеки означає список запитань, яким великий клієнт перевіряє постачальника перед договором. Зазвичай там кілька десятків запитань про доступи, шифрування, резервні копії, журнали подій, реагування на інциденти, підрядників і тестування безпеки. Ось найчастіші з них і що на них показати.

Не пишіть «так» там, де правда «частково». Клієнти перевіряють відповіді під час аудиту або перед продовженням договору, і неправдива відповідь шкодить більше, ніж чесний план.

Лист про пентест: що це і навіщо

Повний звіт пентесту містить кроки, як відтворити кожну вразливість, тому його не пересилають кожному клієнту. Замість нього виконавець готує лист про пентест (англійською attestation letter): коротку сторінку, яку можна спокійно надіслати разом з анкетою.

Що має бути в листі:

1. Хто і коли. Назва виконавця, дати тестування.
2. Обсяг. Який застосунок, API, середовище і ролі перевіряли.
3. Метод. Ручне тестування і настанови, на які спиралися, наприклад NIST SP 800-115 чи OWASP. ^[6]
4. Результат. Кількість знахідок за рівнями і їхній статус після повторної перевірки.
5. Контакт. Підпис і спосіб підтвердити, що лист справжній.

Чесний лист ніколи не пише «вразливостей немає». Він пише, що саме перевірили і що знайдене виправлено.

Ізоляція клієнтів: головна перевірка для SaaS

Більшість SaaS-продуктів обслуговують багатьох клієнтів з однієї системи, і їхні дані лежать поруч. Найдорожча помилка тут проста: користувач клієнта А змінює номер у запиті й бачить рахунок, файл чи список користувачів клієнта Б. OWASP, відкрита спільнота з безпеки застосунків, ставить відсутню перевірку прав до окремого об'єкта на перше місце серед ризиків API. ^[4] Її посібник про безпеку таких систем радить не довіряти ідентифікатору клієнта із запиту, а перевіряти, що користувач справді належить до цієї організації. ^[5]

Що перевіряє пентестер:

• запити до рахунків, файлів, звітів і користувачів з ідентифікаторами іншого клієнта;
• запрошення і ролі: чи можна додати себе до чужої організації або підвищити собі права;
• експорт, пошук, звіти й вебхуки (автоматичні повідомлення іншим системам): чи не потрапляють туди чужі записи;
• файлове сховище і кеш: чи не віддаються чужі файли за прямим посиланням;
• адмінку підтримки: хто з вашої команди бачить дані клієнтів і чи це записується в журнал.

Для такої перевірки потрібні щонайменше два тестові клієнти з кількома ролями в кожному. Без них ізоляцію неможливо перевірити по-справжньому.

Кого найняти

Шукайте виконавця, який:

• тестує вебзастосунки та API вручну, а не лише запускає сканер;
• включає ізоляцію клієнтів і логіку продукту окремими пунктами обсягу;
• дає звіт для розробників і окремий лист про пентест для клієнтів;
• включає повторну перевірку, щоб у листі стояло «виправлено», а не «знайдено»;
• починає активні дії лише після письмового дозволу і погоджених меж.

Для стартапу в Європі не обов'язково шукати виконавця в тій самій країні. Важливіші досвід із SaaS-продуктами, мова звіту і зручні години для зв'язку. Запитання, які варто поставити будь-якій компанії, зібрані в статті як обрати компанію для пентесту.

Чекліст перед анкетою клієнта

• Пентест вебзастосунку і API за останні 12 місяців, з повторною перевіркою.
• Лист про пентест, який можна надіслати клієнту.
• Доступ між двома тестовими клієнтами перевірено в усіх ролях.
• MFA ввімкнено для всіх адміністраторів продукту, хмари і репозиторію коду.
• Є перелік, хто з команди має доступ до даних клієнтів.
• Є коротка політика безпеки і план реагування на інциденти.
• Відомо, де зберігаються дані і які підрядники мають до них доступ.
• Є чесна відповідь про SOC 2 чи ISO 27001: що вже є і коли буде.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Чи можна пройти анкету безпеки без SOC 2?

Часто так, особливо з першими клієнтами. Покажіть свіжий пентест із повторною перевіркою, лист про пентест, базові політики і план сертифікації зі строками. Великі банки й корпорації можуть вимагати сертифікат обов'язково, тому це варто з'ясувати до підписання.

Що робити першим: пентест, SOC 2 чи ISO 27001?

Для більшості стартапів першим іде пентест: він швидший, дешевший і закриває найчастіше запитання анкети. SOC 2 чи ISO 27001 плануйте тоді, коли їх прямо вимагають ключові клієнти, бо підготовка триває місяцями.

Чи можна віддати клієнту повний звіт пентесту?

Краще ні, бо в ньому кроки для відтворення вразливостей. Дайте лист про пентест, а повний звіт показуйте лише за потреби і під NDA (угоду про конфіденційність).

Як часто SaaS-продукту потрібен пентест?

Зазвичай раз на рік і після великих змін: нових ролей, API, SSO, переїзду інфраструктури. Клієнти найчастіше питають саме про останні 12 місяців.

Скільки триває пентест SaaS-продукту?

Залежить від обсягу: кількості ролей, розміру API, інтеграцій. Строк фіксують до старту, після розмови про продукт.

Посилання

1. AICPA: System and Organization Controls (SOC suite of services) aicpa-cima.com
2. AICPA: 2017 Trust Services Criteria (With Revised Points of Focus, 2022) aicpa-cima.com
3. IEC Webstore: ISO/IEC 27001:2022 webstore.iec.ch
4. OWASP API Security Top 10 2023: API1 Broken Object Level Authorization api-security.owasp.org
5. OWASP Cheat Sheet Series: Multi-Tenant Security cheatsheetseries.owasp.org
6. NIST SP 800-115: Technical Guide to Information Security Testing and Assessment csrc.nist.gov