Əsas fikir
Müqavilədən əvvəl sistemləri və sərhədləri, test icazələrini, metodologiyanı, sübutların idarəsini, nəticələri, məhdudiyyətləri və yekun müzakirəni yazılı şəkildə razılaşdırın.
Məsləhət işi nəyə xidmət edir?
Kibertəhlükəsizlik üzrə məsləhətçi təşkilatın müəyyən sualını müstəqil şəkildə araşdırır, sübutları qiymətləndirir və qərar üçün tövsiyələr verir. İş təhlükəsizlik qiymətləndirməsi, penetrasiya testi, siyasətlərin nəzərdən keçirilməsi, alət seçimi, uyğunluq hazırlığı, işçi maarifləndirilməsi və ya insident planının sınağını əhatə edə bilər. Bunlar fərqli işlərdir; “təhlükəsizlik auditi” kimi ümumi ifadə konkret əhatə dairəsini əvəz etmir.
Yaxşı tapşırıq sual, sistem, metod və təhvil veriləcək nəticəni əvvəlcədən müəyyən edir. Məsələn: “İnternetə açıq üç veb tətbiqdə autentifikasiya və giriş nəzarəti boşluqlarını yoxlayın; işlək mühitdəki məlumatları dəyişməyin; təsdiqlənmiş zəiflikləri sübut və düzəliş prioriteti ilə hesabatlayın.” Konkret sərhəd təşkilatın və məsləhətçinin nə gözlədiyini aydınlaşdırır.
Əhatə dairəsi və icazəni yazılı müəyyən edin
Sistem adlarını, domenləri, IP diapazonlarını, bulud hesablarını, tətbiq və mühitləri, üçüncü tərəf xidmətlərini, istifadəçi rollarını və test tarixlərini sadalayın. Nəyin daxil olmadığını da yazın. Penetrasiya testi və ya aktiv skan üçün aktiv sahibinin icazəsi, əlaqələndirilmiş vaxt pəncərəsi, əlaqə nöqtəsi, test hesabları və dayandırma şərtləri olmalıdır. İşlək sistemlərə mümkün təsiri, ehtiyat nüsxəni, məlumatın dəyişməsi riskini və fövqəladə əlaqə yolunu əvvəlcədən nəzərdən keçirin.
Bulud və provayder tərəfindən idarə olunan aktivlər üçün müqavilə və test siyasətinin hansı icazəni tələb etdiyini yoxlayın; təşkilatın sahib olmadığı sistemə özbaşına test aparmayın. Şəxsi məlumat və ya real müştəri qeydləri ilə işlənəcəksə, məlumatı minimallaşdırma, anonimləşdirmə və saxlanma müddətini müqaviləyə daxil edin. Yerli qanun və tənzimləmə barədə nəticə tələb olunursa, bunu ayrıca hüquqi və uyğunluq məsuliyyəti kimi müəyyənləşdirin.
Daxil edilən aktivlər
Sistem, sahib, mühit, ünvan və iş məqsədi.
İcazə və təhlükəsiz iş qaydası
Yazılı icazə, vaxt pəncərəsi, istisnalar, dayandırma meyarı və insident əlaqəsi.
Məlumatın qorunması
Kim nəyi görə bilər, sübut harada saxlanır, necə ötürülür və nə vaxt silinir.
Metodologiya və sübut necə qiymətləndirilməlidir?
Namizəddən işi hansı mərhələlərlə görəcəyini soruşun: ilkin görüş və aktiv inventarı, təhdid və risk konteksti, təhlükəsiz texniki yoxlama, nəticələrin təsdiqi, düzəliş müzakirəsi və təkrar yoxlama. Metod konkret sualla uyğun olmalıdır. Konfiqurasiya və siyasət baxışı penetrasiya testi deyil; skan nəticəsi də təkbaşına istismar edilə bilən boşluğun sübutu sayılmır.
Hər tapıntı üçün məsləhətçi təsirə məruz qalan aktiv, reproduksiya edilə bilən sübut, şərtlər, təsir, etibarlılıq səviyyəsi və düzəliş təklifi təqdim etməlidir. Məxfi dəyərləri, etimadnamələri və tam şəxsi qeydləri lazımsız yerə hesabatda saxlamayın. Müştəri nəticəni texniki sahib və biznes rəhbəri ilə birlikdə yoxlaya bilməlidir. Həqiqətən təsdiqlənməmiş fərziyyə “tapıntı” kimi yazılmamalıdır.
Təhvil veriləcək nəticələri əvvəlcədən razılaşdırın
İşin sonunda hansı formatların veriləcəyini və kimə təqdim olunacağını müəyyən edin. Faydalı paketə rəhbərlik üçün qısa nəticə, əhatə və metodun təsviri, prioritetləşdirilmiş tapıntılar, hər tapıntı üçün sübut və düzəliş addımları, risk və məhdudiyyətlər, eləcə də texniki sahib üçün əlavə material daxil ola bilər. Əgər qiymətləndirmə idarəetmə nəzarətlərini əhatə edirsə, hansı sübutun yoxlandığını və nəyin yoxlanmadığını göstərməlidir.
Hesabat üçüncü tərəflə paylaşılacaqsa, versiya, məxfilik işarəsi, ötürmə üsulu, giriş hüququ, saxlanma və silinmə qaydasını razılaşdırın. Yenidən test, təqdimat və düzəliş məsləhəti qiymətə daxildirmi, yoxsa ayrıca işdir — müqavilədə aydın olsun. “Risk aradan qaldırıldı” kimi nəticə yalnız düzəlişin ayrıca yoxlanması ilə təsdiqlənə bilər.
| Yoxlama meyarı | Məsləhətçidən soruşun | Yaxşı cavabın əlaməti |
|---|---|---|
| Təcrübə | Bu sistem və sahədə oxşar işi kim görüb? | Komanda rolları, əlaqəli təcrübə və yoxlana bilən nümunə; məxfi müştəri məlumatı tələb etmədən. |
| Metod | Nəyi necə yoxlayacaq və hansı məhdudiyyətlərlə? | Addımlar, alətlər, insan yoxlaması, təhlükəsizlik tədbiri və istisnalar aydındır. |
| Sübut və nəticə | Tapıntının etibarlılığı necə göstəriləcək? | Aktiv, təsir, təkrarlama addımı, etibarlılıq və düzəliş bir-birinə bağlıdır. |
| Əlaqə | Kim nə vaxt məlumat verəcək və təcili nəticə necə ötürüləcək? | Adlandırılmış əlaqə şəxsləri, razılaşdırılmış yeniləmələr və dayandırma proseduru var. |
| Müstəqillik və maraqlar | Eyni firma həll satır, quraşdırır və sonra öz işini qiymətləndirirmi? | Mümkün maraq toqquşması açıqlanır, qiymətləndirmə sərhədi və qərar sahibliyi aydındır. |
Təklifləri və əməkdaşlığı qiymətləndirin
Təklifləri yalnız qiymət və ya “təcrübəli ekspertlər” ifadəsi ilə müqayisə etməyin. Hər namizədin konkret əhatəni başa düşdüyünü, uyğun metod seçdiyini, naməlumları açıqladığını, həssas sübutu qoruma planı verdiyini və nəticəni təşkilatın qərarına bağladığını yoxlayın. Nümunə hesabatı və ya redaktə edilmiş nümunə istəyin; başqa müştərinin məxfi məlumatını açıqlamasını tələb etməyin. Komandanın işi kim edəcəyini və ehtiyac dəyişərsə əhatənin necə yenidən razılaşdırılacağını soruşun.
Başlanğıc görüşündə texniki sahib, risk sahibi və məsləhətçi eyni məqsədi təsdiqləsin. İşin gedişində təcili tapıntı üçün əlaqə və işin dayandırılması meyarı məlum olsun. Yekunda nəticələri prioritetləşdirin, düzəliş sahibini təyin edin və bağlanmanı təkrar test və ya başqa uyğun sübutla yoxlayın. Bu yanaşma məsləhətçini təşkilatın məsuliyyətini öz üzərinə götürən tərəf kimi göstərmir; qərar və riskin qəbulu təşkilatda qalır.
Qiymət nə ilə müqayisə edilməlidir?
Eyni əhatə, metod, komanda, sübut səviyyəsi, hesabat və təkrar yoxlama şərtlərini müqayisə edin. Qiymət nəticənin dərinliyi və məhdudiyyətlərindən ayrı dəyərləndirilməməlidir.
Məsləhətçi uyğunluğa zəmanət verə bilərmi?
Məsləhətçi müəyyən edilmiş tələblər üzrə yoxlanmış sübutu və boşluqları təsvir edə bilər. Hüquqi uyğunluq barədə ümumi zəmanət işin əhatəsindən kənar iddiadır; tətbiq olunan tələbləri və məsul şəxsi ayrıca müəyyən edin.