Ana sayfa Yazılar Sızma testi ne sıklıkla yapılır
Sızma testi ne sıklıkla yapılır
Sızma testi, sistem değiştikçe ve kurumun kendi risk kararıyla yenilenir. Her şirket için tek bir “yılda bir” kuralı yoktur. Penetrasyon testini bir standart emrediyorsa, ölçü o standardın güncel metnidir. Bu yazı o metnin yerine geçmez.
Kısa sonuç
- Büyük değişiklik, eski raporun süresini doldurur.
- Aynı bulgunun yeniden testi, yeni bir yıllık tur değildir.
- Kart verisi tutuyorsanız PCI DSS 11.4’ü kendi metninden okuyun.
- Kart veriniz yoksa 11.4 size görev yazmaz.
Değişiklik eski sonucu düşürür
Yeni ödeme adımı, yeni API, yeni bulut hesabı veya ağ ayrımının değişmesi, eski turun kapsamını aşar. Eski rapor o adresi anlatmaz. Yeni adres için yeni form ve yeni tur gerekir. Düzeltmesi biten eski bulguya bakmak ise yeniden testtir. İkisi aynı takvime yazılmaz.
Ortam da değişmiş olabilir. Testte bakılan adres üretime çıkmışsa, üretim ayrıca formda durmalıdır. Ayrım ortam yazısında vardır.
Kart verisi ayrı bir metindir
PCI DSS v4.0.1 içinde 11.4, iç ve dış penetrasyon testinin düzenli yapılmasını ve bulunan zayıflığın düzeltilmesini anlatır. Ayrıntı, sürüm ve sizin kapsamınız güncel PCI DSS metnindedir. Kart verisi tutmuyorsanız bu maddeyi kendi takviminize kopyalamayın.
NIST SP 800-115, güvenlik testini bir politika aracı olarak da anlatır. Politika, kurumun kendi yazdığı sıklıktır. Politika yoksa “sektör böyle yapıyor” cümlesi takvim üretmez.
Sıklığı kim seçer
Seçimi test firması tek başına koymaz. Kurum, hangi sistemin ne zaman değiştiğini bilir. Teklif, o değişikliği satır satır alır. Sabit “yıllık paket” adı, değişmeyen bir site ile her ay süren bir ürünü aynı iş sanır. Farkı fiyat yazısından da görebilirsiniz.
Takvimi konuşmak için iletişime geçin. Kart tarafında karar, PCI SSC belge kitaplığındaki güncel metinle verilir.