Najskôr zmapujeme vaše technológie, citlivé údaje, kritické procesy, externé integrácie a možné dôsledky útoku. Na základe identifikovaných rizík odporučíme systémy, scenáre a typy testovania, ktoré má zmysel zahrnúť do projektu.

Prioritu majú systémy, ktoré spracúvajú citlivé údaje, sú dostupné z internetu alebo sú nevyhnutné pre fungovanie organizácie. Zohľadníme aj ich prepojenia, počet používateľov, regulačné požiadavky a možný dosah incidentu.

Áno. Rozsah, scenáre aj spôsob realizácie prispôsobíme používaným technológiám, typickým hrozbám, prevádzkovým obmedzeniam a regulačným povinnostiam vášho odvetvia.

Bezpečnostné testovanie môže podporiť riadenie kybernetických rizík a overiť účinnosť zavedených opatrení. Samotný test však automaticky nezabezpečuje súlad. Presný rozsah preto nastavíme podľa vašich povinností a relevantného regulačného rámca.

Áno, ak to podmienky prostredia umožňujú. Vopred stanovíme povolené techniky, čas testovania, komunikačné pravidlá aj postup pri neočakávanej udalosti. Pri citlivých systémoch môžeme využiť obmedzené testovanie, neprodukčné prostredie alebo iný bezpečný spôsob overenia.

Áno, pokiaľ sú zahrnuté v dohodnutom rozsahu a testovanie je riadne povolené. Môžeme preveriť externé integrácie, dodávateľské prístupy, API, cloudové služby aj ďalšie súčasti dodávateľského reťazca.

Závisí to od cieľa projektu. Penetračný test preverí konkrétne technológie, bezpečnostný audit posúdi konfigurácie a zavedené opatrenia, sociálne inžinierstvo otestuje ľudský faktor a Red Teaming odolnosť celej organizácie proti komplexnému útoku.

Odporúčaná frekvencia závisí od rizikovosti prostredia, regulačných povinností a tempa zmien. Testovanie má význam pravidelne, ale aj po významnej aktualizácii, zmene architektúry, pripojení nového dodávateľa alebo bezpečnostnom incidente.