Ana sayfa Yazılar Sızma testinde üretim verisi dışarı çıkar mı
Sızma testinde üretim verisi dışarı çıkar mı
Çıkmaz. Formda ayrıca yazılmadıkça üretim verisini silmek veya dışarı çıkarmak yasaktır. Sızma testi, kayda ulaşılabildiğini maskeli kanıtla gösterir. Penetrasyon testi de müşteri listesini, kartı veya parolayı teslim paketine koymaz.
Kısa sonuç
- Varsayılan kural, veriyi yerinde bırakmaktır.
- Kanıt, alanın dolu olduğunu gösterir. Alanın içini taşımaz.
- Kişisel veride asgari örnek yeter. Raporda o örnek de maskelenir.
- Kopya alındıysa saklama süresi ve imha formda durur.
Kanıt, verinin kendisi değildir
Başka kullanıcının kaydına erişildiği, o kaydın kimlik alanı maskelenerek gösterilir. İstek ve yanıtın tamamı rapora ham basılmaz. Ekran, hesap ve çerez de kamuya ve gereksiz alıcıya gitmez. Teknik rapordaki kanıt, düzeltecek ekibin kendi test hesabıyla aynı yolu görmesi içindir.
PTES, hassas verinin indirilmeden de erişimin gösterilebileceğini anlatır. Kapı açıldıysa, içerideki para taşınmaz. NIST SP 800-115 de değerlendirme verisinin toplanması, saklanması ve sonunda yok edilmesini planın parçası sayar.
Kişisel veri ayrı satırdır
Form, varlıkta kişisel veri olup olmadığını sorar. Varsa asgari örnek yeter. Örnek, raporda maskelenir. Kanıt şifreli saklanır. Süre bitince imha edilir. Süre yazılmadan “bir süre bizde durur” denmez.
Müşterinin kişisel hesabı, formda açılmadıkça kullanılmaz. Test hesabı, üretim kaydını silmek için verilmiş sayılmaz.
Açık yazılırsa ne değişir
Kurum, belirli bir alanı dışarı çıkarmayı ayrıca onaylarsa, o alanın adı, miktarı ve kime gideceği form ekindedir. Onay yoksa o kopya alınmaz. Alınmışsa bu, kapsam dışına taşmadır. İş durur ve kurum aranır.
Bu kural izin kâğıdıyla birlikte okunur. Raporun kimlere gittiği rapor yazısında durur. Form örneği buradadır.