تكلفة اختبار الاختراق للشركات الناشئة

ما الذي يدفع إلى الشراء فعلاً

قبل الحديث عن الميزانية يجدر الدقّة في سبب الشراء، لأنه يحدّد النطاق وبالتالي السعر. عملياً هناك أربعة دوافع.

• مراجعة أمنية لعميل مؤسسي. استبيان مشتريات أو مخاطر موردين يطلب اختبار اختراق مستقلاً حديثاً. هذا أشيع دافع وأكثرها إلحاحاً زمنياً، لأن خلفه عقداً.
• جولة تمويل. العناية الواجبة التقنية من الجولة A فصاعداً تسأل كثيراً عن الاختبار المستقل الذي جرى وما نتج عنه.
• إطار تنظيمي. SOC 2 أو PCI DSS أو نظام إقليمي يضع متطلباً بموعد. تغطّي صفحات الامتثال ما يتوقّعه كل منها.
• حادثة. وقع شيء، وتحتاج أن تعرف ما المكشوف غيره.

الرابع وحده مفتوح. أما الثلاثة الأخرى فلكل منها طرف خارجي محدّد يمكن قراءة متطلبه، وهذا المتطلب أضيق من الذعر عادةً. احصل عليه كتابةً أولاً.

ميزانيات واقعية بحسب المرحلة

هذه النطاقات التي تكون منطقية عادةً، لا ادّعاء بما يجب أن تنفقه.

ما قبل التأسيس والتأسيسية

حدّد النطاق على المنتج الواحد الذي تبيعه، مُصادَقاً عليه، مع واجهته البرمجية إن وُجدت. هذا مشروع تطبيق ويب من 500 دولار، عادةً ثلاثة إلى خمسة أيام عمل. في هذه المرحلة لا تحتاج اختبار شبكة أو Active Directory تقريباً أبداً، لأنه شبه مؤكّد أنه لا يوجد لديك نطاق مجالي مؤسسي يستحق الهجوم. أنفق الفارق على إصلاح ما يجده الاختبار.

الجولة A

المنتج أكبر، وعادةً توجد عدة أدوار مستخدمين، وصار عزل المستأجرين سؤالاً حقيقياً لأن لديك الآن عملاء يهتمّون به. لا يزال نطاقاً تطبيقياً، لكن محدَّداً بعدد الأدوار وسطح الواجهة البرمجية لا بأصغر أثر ممكن. وإن انتقلت إلى بيئة سحابية ببنية تحتية معتبرة، أضف اختبار السحابة من 1,500 دولار.

الجولة B وما بعدها

عند هذه النقطة لديك عادةً شبكة مؤسسية ومزوّد هوية وموظفون بحواسيب محمولة، أي أن سطح الهجوم لم يعد المنتج وحده. يصبح اختبار الشبكة وActive Directory من 1,500 دولار وثيق الصلة فعلاً، ويصبح برنامج سنوي يغطّي المنتج والبنية التحتية أمنطق من مشروع منفرد. وهذه أيضاً المرحلة التي يبدأ فيها التصيّد والهندسة الاجتماعية بالأهمية، لأن لديك ما يكفي من الأشخاص لتكون هدفاً.

تحديد نطاق أول اختبار بحيث يفكّ احتجاز الصفقة

أول اختبار يُشترى تحت ضغط صفقة له مهمة واحدة: إنتاج أدلة يقبلها العميل. ثلاثة أمور تحسم ذلك.

يجب أن يطابق النطاق ما طُلب. إن كان العميل يشتري منتجك SaaS، فاختبر منتجك SaaS، مُصادَقاً عليه، بما في ذلك الحد بين حسابَي عميلين. اختبار موقعك التسويقي لا يُرضي أحداً وسيقول خطاب الإثبات ذلك.

يجب أن تكون الأدلة كاملة. معظم المراجعات تريد تقريراً محدّد النطاق، ونتائج مصنّفة بالخطورة، ومعالجة موثّقة، وأدلة إعادة اختبار، وخطاباً يشهد بما اختُبر ومتى. إن كان أيٌّ منها شراءً منفصلاً، ستكتشف ذلك في أسوأ لحظة. الأربعة مشمولة افتراضياً في مشاريعي.

يجب حساب التوقيت رجوعاً من الموعد. الاختبار ثلاثة إلى خمسة أيام عمل لتطبيق صغير، ثم يحتاج مهندسوك وقتاً للإصلاح، ثم تأتي إعادة الاختبار. أسبوعان من البداية للنهاية حد أدنى واقعي. بدء الحديث قبل شهر يكلّف مثل بدئه قبل أسبوع وينتج نتيجة أفضل بكثير.

ما تفعله قبل الاختبار لتحصل على أكثر منه

كل ساعة يقضيها المختبِر على شيء كان يمكنك إصلاحه في عشر دقائق هي ساعة ضائعة عن الأجزاء المثيرة في تطبيقك. قبل أول اختبار، يجدر تفعيل المصادقة متعدّدة العوامل على الوصول الإداري، وإزالة حسابات من غادروا، وتحديث الاعتماديات ذات الثغرات الحرجة المعروفة، والتأكد من أن بيانات الاختبار والتجهيز ليست بيانات إنتاج. لا شيء من ذلك برّاق، وكله يرفع قيمة ما تشتريه. هناك قائمة أطول في كيف تستعد لأول اختبار اختراق.

وقرّر مسبقاً من سيصلح النتائج. أشيع فشل لأول اختبار لشركة ناشئة ليس تقريراً سيئاً، بل تقريراً جيداً لا يجد أحد وقتاً للتصرّف بناءً عليه، فتبقى لديك أدلة على مشكلات وبلا أدلة على معالجة. وهذا يقرأ أسوأ لدى العميل من عدم الاختبار أصلاً.

كم يكلّف عندي

اختبار التطبيقات من 500 دولار، والشبكة وActive Directory أو السحابة من 1,500 دولار، بسعر ثابت مقابل نطاق مكتوب دون محاسبة بالساعة. دعم المعالجة وإعادة الاختبار وخطاب الإثبات مشمولة. تتعامل طوال الوقت مع مختبِر واحد حاصل على OSCP+، وهو في هذا الحجم ميزة عادةً: من حدّد نطاق العمل يعرف منتجك حين يُكتب التقرير.

نموذج التسعير العام في صفحة تكلفة اختبار الاختراق، والتقرير النموذجي يوضّح المخرج، وإن أربكك المدى السعري في أماكن أخرى، يشرح ما الذي يشتريه الاختبار الرخيص ذلك التشتّت.