Le questioni da definire prima di richiedere un preventivo
I costi e la durata dei penetration test per le aziende fintech dipendono dai sistemi obiettivo, dai ruoli, dai flussi di lavoro aziendali, dalle modalità di accesso e dai requisiti di rendicontazione. Il solo numero di sistemi non è sufficiente per determinare l’impegno richiesto. Utilizzate le domande seguenti per preparare l’ambito e individuare le ipotesi a cui una proposta deve rispondere.
Prima di un incarico
Cosa comprende il penetration testing nel settore fintech?
Test delle API fintech e dei confini tra tenant; test della logica di pagamento e degli stati delle transazioni; test delle identità dei carichi di lavoro e del cloud fintech. L’ambito concordato definisce risorse, ruoli, interfacce ed esclusioni specifici.
Potete testare i sistemi di produzione?
Utilizzare tenant dedicati, dati sintetici dei clienti e circuiti di pagamento di test con il regolamento effettivo disattivato. Concordare le autorizzazioni per i sistemi dei partner, i limiti di transazione, il rollback e le finestre di rilascio. Le attività in produzione devono avere responsabili esplicitamente designati e un canale chiaro per interromperle. I test in produzione richiedono un accordo esplicito; i risultati in staging e in produzione non devono essere presentati come intercambiabili.
È la stessa cosa di una scansione delle vulnerabilità?
No. Una scansione può supportare l’individuazione, ma un penetration test convalida le debolezze selezionate e le relative conseguenze nell’ambiente autorizzato. Il rapporto dovrebbe distinguere le osservazioni non verificate dai risultati dimostrati.
Un test di penetrazione dimostra la conformità?
«Fintech» è una descrizione aziendale, non un'unica categoria normativa. L'applicabilità di DORA dipende dalla persona giuridica e dall'attività regolamentata; la designazione per il TLPT è una questione distinta. L'ambito di applicazione del PCI DSS dipende dai dati delle carte di pagamento e dai sistemi coinvolti. I test di sicurezza dei prodotti dovrebbero essere pianificati insieme a questi obblighi, al GDPR e ai requisiti dei clienti.
Quanto dura un incarico e quanto costa?
Durata e tariffe dipendono dall’ambito, dai ruoli, dai flussi di lavoro, dalle condizioni di accesso, dal coinvolgimento di terze parti e dalle esigenze di reportistica e ripetizione dei test. Questi aspetti vengono concordati in una proposta, anziché dedotti da un pacchetto generico.
Cosa riceveremo?
Un registro di copertura concordato, rilievi tecnici, evidenze, limiti dell’impatto e un piano di correzione. I retest e le ulteriori esercitazioni operative sono specificati nel capitolato.
L’esempio è un report reale di un cliente?
No. Fintech AG e tutti i sistemi, i partecipanti e i risultati sono fittizi. L’esempio illustra la rendicontazione tecnica senza esporre informazioni dei clienti.
Che cosa succede ai dati forniti per richiedere un esempio?
Atlant Security riceve la vostra richiesta tramite la propria casella aziendale, rende disponibile il download dal browser e può ricontattarvi in merito alla richiesta. Non verrete iscritti a comunicazioni di marketing. Consultate le informative sulla privacy e sui cookie.
Cosa dovremmo includere in una richiesta?
La sua organizzazione, il suo ruolo, una descrizione generale dei sistemi o dei flussi di lavoro, l'obiettivo e le tempistiche previste. Non invii cartelle cliniche, dati di pagamento, credenziali o informazioni di sicurezza riservate tramite il modulo pubblico.
