Kérdések, amelyek minden teszt előtt felmerülnek.

Nem árlistából dolgozunk. Egy rövid egyeztetés után a hatókör alapján fix áras ajánlatot küldünk, közép-európai díjakkal. Az ajánlatban szereplő ár a végső ár – rejtett költségek nélkül.

A hatókörtől és a célpont összetettségétől függ. Irányadó értékek: egy webalkalmazás-teszt 7–30 nap, egy infrastruktúra-teszt 4–10 nap, egy red team megbízás 4–5 nap. A pontos ütemezést az ajánlat tartalmazza.

Miután megállapodtunk a vizsgálatokról, a szerződés tartalmaz minden információt, ami az elvégzésükhöz szükséges. Az indulás legegyszerűbb módja egy ingyenes, 30 perces konzultáció: együtt átnézzük a rendszereit és a céljait, és megállapodunk, mit vizsgáljunk.

Ahol lehetséges, teszt- vagy staging környezetet vizsgálunk. Ha az éles rendszert kell tesztelni, a tesztelési időablakokat előre egyeztetjük, és a lehető legóvatosabban vizsgáljuk a rendszereit, így a kockázat minimális.

Igen, kiegészítésként. Az automatikus eszközök a korai fázisokban segítenek, de maga a tesztelés kézi munka, és minden találatot kézzel ellenőrzünk, mielőtt a riportba kerül.

Nem várunk a riportig. Egy munkanapon belül értesítjük a kapcsolattartót, így azonnal megkezdhetik a javítást.

Igen, kérésre – az EU-n belül és kívül is.

Kézzel írt riportot, a találatokkal súlyossági sorrendben és egyértelmű javítási lépésekkel, magyarul vagy angolul. Az eredmények a Whiteshield online felületén is elérhetők, és kérésre egy konzultáción végigvesszük őket a csapatával.

Igen, kérésre – ha igényli, az újratesztelés bekerül az ajánlatba. Konzultáción segítünk a csapatának megérteni, hogyan javítsa az egyes hibákat, de a kódjukhoz mi magunk nem nyúlunk.

Igen, kérésre. Az igazolólevél (letter of attestation) egy rövid, aláírt összefoglaló arról, mikor, mit és milyen módszerrel teszteltünk, a technikai részletek nélkül – jól jön például a partnerek biztonsági kérdőíveihez. Ha úgy kényelmesebb, természetesen a teljes riportot is megoszthatja velük.

Az adatait és a találatokat az EU-ban tároljuk, és azok nem hagyják el az EU-t. A projekt után három hónapig őrizzük, majd megsemmisítjük őket.

Csak anonimizált formában. Semmi olyan nem kerül AI-eszközbe, ami alapján a cége vagy a rendszerei azonosíthatók.

Igen, a felkészülésben. Auditot és tanúsítást nem végzünk, de több mint 15 éve segítünk szervezeteknek penetrációs teszteléssel felkészülni ezekre a követelményekre: a riport megmutatja, hol tartanak a rendszereik, és mit kell javítani az audit előtt.

Nem. A DORA szerinti fenyegetésalapú penetrációs teszt (TLPT) külön, szabályozott eljárás azoknak a pénzügyi szervezeteknek, amelyeket a hatóság kijelöl: fenyegetettségi információkra épülő red team teszt az éles rendszereken, legalább 12 hetes aktív tesztelési szakasszal, a TLPT-hatóság felügyelete mellett. Egy hagyományos penetrációs teszt nem helyettesíti.

A legtöbb AWS-szolgáltatásnál – például EC2, RDS, Lambda, CloudFront vagy API Gateway – nem kell előzetes engedély. A szimulált eseményekhez, például red team gyakorlathoz vagy phishing-szimulációhoz előzetesen az AWS jóváhagyása kell, a szolgáltatásmegtagadási (DoS) tesztek pedig egyáltalán nem engedélyezettek. A teszt megkezdése előtt minden esetben ellenőrizzük az AWS aktuális szabályzatát az adott hatókörre.

A lehető legkevesebb embernek – jellemzően a CISO-nak és a vezérigazgatónak. A red team gyakorlat támadásszimuláció: azt mutatja meg, hogy a belső rendszereik és a csapatuk valóban észreveszik-e a támadást, és ez csak akkor működik, ha nem tudnak róla előre.

Csak ha kifejezetten kéri. Az ipari vezérlőrendszerek alapértelmezetten soha nem részei a hatókörnek.