Checklist di preparazione al penetration test fintech: prima dell’inizio dei test

Eliminare i ritardi evitabili prima del test

Prima di testare i flussi di pagamento, le API multi-tenant e le identità cloud, confermate i referenti nominativamente individuati, gli ambienti autorizzati, gli accessi rappresentativi e i contatti per interrompere i test. La mancanza di accessi o permessi ambigui può ridurre la copertura utile. Esaminate la lista di controllo con i referenti tecnici e operativi prima di concordare la data di avvio.

Definire l’obiettivo

• Individuare quando una chiamata API legittima diventa un’operazione non autorizzata, come le credenziali dei workload possono oltrepassare i confini tra servizi e cosa deve preservare una correzione realistica.
• Indicare i responsabili del servizio e la decisione che il test deve supportare.
• Selezioni le applicazioni, le reti, le identità e le integrazioni incluse nell’ambito.

Definire l’autorizzazione

• Ottenete un’autorizzazione scritta per ogni ambiente di vostra proprietà.
• Confermare i confini tra fornitori e piattaforme condivise.
• Registrare i metodi vietati e i sistemi fuori ambito.

Preparate il piano operativo

• Utilizzi tenant dedicati, dati sintetici dei clienti e circuiti di pagamento di test con il regolamento effettivo disabilitato. Concordi le autorizzazioni per i sistemi dei partner, i limiti delle transazioni, il rollback e le finestre di rilascio. Le attività in produzione devono avere responsabili espliciti e un canale chiaro per interromperle.
• Indicare un responsabile principale e un sostituto autorizzati a interrompere l’attività.
• Concordare comunicazioni, finestre temporali, limiti delle richieste ed escalation degli incidenti.

Preparate accessi rappresentativi

• Create record sintetici e ruoli di test dedicati.
• Documentare le decisioni previste in materia di accesso tra tenant e accesso privilegiato.
• Predisporre un canale riservato per le informazioni tecniche.

Pianificare la consegna e la chiusura

• Concordare i requisiti relativi ad ambito, evidenze, rendicontazione e conservazione.
• Assegnare i responsabili delle correzioni e includere i criteri per i nuovi test.
• Riconciliare gli account, le sessioni e gli oggetti canary introdotti.