Quale servizio intende commissionare?
Un’attività di penetration testing per una fintech efficace parte da una decisione aziendale: quale accesso o operazione non deve poter ottenere un attaccante? Definite le coppie di tenant, gli stati delle transazioni e le autorizzazioni dei workload, quindi concordate come il test dovrà dimostrare il risultato. La proposta dovrebbe indicare separatamente ambito, esclusioni, responsabilità di esecuzione, contenuti del rapporto e eventuali retest.
Iniziate dalla decisione in materia di sicurezza
Individuare quando una chiamata API legittima diventa un’operazione non autorizzata, come le credenziali dei workload possono oltrepassare i confini tra servizi e cosa deve preservare una correzione realistica.
I test fintech seguono il modello del prodotto: tenant di clienti ed esercenti, integrazioni con partner, webhook, account di servizio e cambi di stato che trasferiscono valore.
Un’API per esercenti può autenticare correttamente chi effettua la chiamata senza vincolare un oggetto a quell’esercente. Un webhook può essere autentico e tuttavia venire riprodotto in uno stato di transazione errato. I test devono considerare le decisioni aziendali previste dal prodotto, non limitarsi a un elenco di URL degli endpoint.
Un ambito concordato, non una scansione senza limiti
Definiamo i sistemi, le identità, i flussi di lavoro e le interfacce necessari per rispondere agli obiettivi della valutazione. Prima di avviare attività operative occorrono l’autorizzazione scritta, il permesso delle terze parti, gli account di test e un insieme di dati concordato. La proposta registra inclusioni, esclusioni e dipendenze.
- Test delle API fintech e dei confini tra tenant — Verificate la relazione tra il chiamante, l’oggetto e l’operazione.
- Test della logica di pagamento e dello stato delle transazioni — Esaminate le decisioni tra l’accettazione di una richiesta e il completamento di un pagamento.
- Test delle identità cloud e dei workload fintech — Seguite le credenziali dalla CI/CD fino alle autorizzazioni che concedono effettivamente.
Domande a cui il test può rispondere
- Un esercente può leggere o modificare l’oggetto sintetico di un altro tenant?
- Un’identità di orchestrazione può modificare un beneficiario e approvare la stessa bozza?
- Una credenziale di deployment o una sessione del fornitore può ottenere privilegi eccessivi sul cloud o sulle funzioni di ripristino?
Questi sono esempi utili a definire l’ambito, non l’affermazione che ogni incarico includa tutti i metodi o sistemi. Il piano di test definitivo documenta le azioni consentite, i risultati attesi e le osservazioni necessarie a supportare ciascuna conclusione.
Le misure di salvaguardia operative fanno parte del metodo
Utilizzi tenant dedicati, dati sintetici dei clienti e circuiti di pagamento di test con il regolamento effettivo disabilitato. Concordi le autorizzazioni per i sistemi dei partner, i limiti delle transazioni, il rollback e le finestre di rilascio. Le attività in produzione devono avere responsabili espliciti e un canale chiaro per interromperle.
I test possono comportare rischi. Concordi chi può sospendere le attività, quali condizioni attivano un’escalation e come distinguere gli incidenti reali dalle attività dell’esercitazione. L’invio di una richiesta tramite questo sito web non autorizza alcun test.
Dai rilievi alle azioni verificate
Riceverà una sintesi per la direzione, una documentazione tecnica con ambito definito, rilievi riproducibili e un registro degli interventi correttivi. Ogni rilievo dovrebbe illustrare il risultato osservato, l’accesso o l’operazione dimostrati, i relativi limiti e una prova di accettazione pratica. Ambito e tempistiche del nuovo test sono concordati nella descrizione delle attività.
Esamini l’esempio di Fintech AG o consulti i risultati del lavoro prima di discutere i suoi requisiti.
Preparare un brief prima della chiamata di definizione dell’ambito
Iniziate dal flusso operativo del prodotto, dai confini tra tenant e dalle identità che la valutazione deve verificare. Documentate come osservare una transazione di test senza movimentare fondi reali dei clienti.
Utilizzi il generatore gratuito di documenti di definizione dell’ambito per test di penetrazione fintech per indicare obiettivi, aree di valutazione, vincoli e preferenze relative all’NDA. Riveda l’ambito proposto, quindi lo invii direttamente ad Atlant Security tramite il modulo di contatto.
