Що саме потрібно перевірити? Black box показує зовнішній доступ, grey box перевіряє функції за входом, white box додає аналіз коду.
⬇ Завантажити PDF Без реєстрації та залишення контактів. Потрібна версія для друку? ↓
PDF · 8 сторінокПрочитайте завдання. Чи зрозуміло, що перевіряють: зовнішній доступ, чужі дані, права користувачів або помилки в коді?
→ Назвіть конкретний ризик і виберіть формат за схемою.
Це перший крок, а не заміна всіх перевірок.
Натисніть на перевірку, щоб побачити інструкцію: як має бути, як перевірити, тривожний знак і що зробити.
Власник визначив ризик, а технічний керівник записав його в завданні.
Прочитайте завдання. Чи зрозуміло, що перевіряють: зовнішній доступ, чужі дані, права користувачів або помилки в коді?
У завданні написано лише «перевірити сайт на вразливості».
Назвіть конкретний ризик і виберіть формат за схемою.
Технічний керівник записав адреси систем і функції, які має перевірити пентестер.
Звірте завдання із застосунком. Чи включили кабінет, платежі, адміністративні сторінки та обмін даними між програмами?
У завданні є лише адреса головної сторінки.
Додайте потрібні адреси й функції. Узгодьте перелік із виконавцем.
Технічний керівник підготував два незалежні клієнтські акаунти та акаунти інших потрібних ролей.
Увійдіть у кожен акаунт. Перевірте, що два клієнти мають різні тестові дані й доступні потрібні ролі.
Є лише один клієнтський акаунт. Порівняти доступ між клієнтами неможливо.
Створіть відсутні акаунти. Перевірте вхід і тестові дані.
Технічний керівник описав, які дані кожна роль може бачити та змінювати.
Прочитайте опис прав. Чи зрозуміло, хто бачить рахунки, змінює платежі та керує іншими користувачами?
Ніхто не знає, хто може бачити чужі рахунки.
Запишіть дозволені дії для кожної ролі. Передайте опис виконавцю.
Виконавець отримав потрібні матеріали. Сторони погодили межі перевірки, заборони, контакти та передавання доступів.
Звірте матеріали із завданням. Чи визначили заборонені дії, контакт відповідального та безпечний спосіб передавання доступів?
Виконавець не знає обмежень або не має контакту відповідального.
Узгодьте обмеження й контакт. Передайте доступи безпечним способом.
Один аркуш: щоденні перевірки, трекер на 30 робочих днів і контакти.
Завантажити аркуш A4Використайте памʼятку як основу для правил. Відмічайте виконання 30 робочих днів, поки це не стане звичкою.
Власник або керівник визначає, які перевірки обовʼязкові і хто за них відповідає.
Хто виконує перевірку і хто її підтверджує. Де можливо, це різні люди.
Роздрукуйте аркуш A4 і покладіть там, де працюють із цим процесом.
Щодня позначайте перевірки, фіксуйте винятки і за потреби уточнюйте правила.
Через 30 днів у вас буде узгоджене правило, відповідальні та записи перевірок. Це не гарантія безпеки, а робоча практика.
Допоможемо незалежно перевірити, чи працюють ці контролі на практиці, а не лише на папері.
Фахівець із тестування на проникнення. Допомагає компаніям знаходити вразливості у вебзастосунках, API та інфраструктурі й визначати, які ризики усувати першими.
Про Veiltrack → Є питання щодо безпеки ваших процесів? Обговорити ситуацію →
Памʼятка містить загальні рекомендації. Доступні засоби контролю залежать від вашої компанії та сервісів, якими ви користуєтесь.
