Rekrut penetration tester - langsung, bukan lewat agensi
Anda merekrut orang yang mengerjakannya, bukan sebuah nama dalam proposal. Bersertifikat OSCP+, 6+ tahun di keamanan siber, proyek berharga tetap, jarak jauh ke seluruh dunia - bicara dengan penguji, bukan dengan account manager.
Sebut saja penetration testing, ethical hacking, pengujian keamanan ofensif, atau proyek Red Team - pekerjaannya sama cermatnya, dan laporannya ditulis dengan bahasa yang lugas.
Apa yang perlu dicermati saat merekrut penetration tester
Tidak semua «penetration test» adalah pekerjaan yang sama. Sebelum merekrut siapa pun - freelance maupun perusahaan - ada baiknya memeriksa beberapa hal yang membedakan penilaian sungguhan dari pemindaian kerentanan yang sekadar berganti nama:
- Pengujian manual, bukan sekadar pemindaian otomatis. Tanyakan alat apa yang dipakai dan bagaimana temuan diverifikasi. Laporan yang seluruhnya berisi keluaran pemindai tanpa konfirmasi akan melewatkan sepenuhnya celah logika bisnis dan rangkaian jalur serangan.
- Penguji yang disebutkan namanya dan dapat diverifikasi. Sertifikasi harus bisa diperiksa secara independen - OSCP/OSCP+, eCPPT, OSWE, dan sejenisnya semuanya punya verifikasi publik. Mintalah tautan dompet sertifikasi sebelum menandatangani apa pun.
- Lingkup dan harga tetap secara tertulis - sebelum pengujian dimulai, bukan kesepakatan per jam tanpa batas yang bisa melampaui anggaran.
- Laporan yang ditulis untuk dua pembaca - ringkasan eksekutif yang bisa ditindaklanjuti manajemen, dan bagian teknis yang benar-benar bisa dikerjakan tim teknis Anda.
- Perjanjian kerahasiaan dan aturan pelaksanaan yang ditandatangani, yang mendefinisikan persis apa yang diizinkan - sebelum pengujian apa pun dimulai.
Freelance atau agensi: pertimbangan yang sebenarnya
Agensi punya kedalaman sumber daya dan struktur pendukung - berguna pada proyek yang sangat besar dengan banyak tim. Namun untuk satu aplikasi, satu penilaian jaringan, atau satu peninjauan Active Directory, struktur itu sering kali hanya menambah lapisan manajemen antara Anda dan orang yang benar-benar mengerjakannya, plus margin yang membiayainya.
Merekrut langsung berarti orang yang ada di panggilan pembahasan lingkup adalah orang yang menguji sistem Anda dan menulis laporan Anda - tanpa serah terima, tanpa konteks yang menipis, tanpa penguji junior yang menambal kekosongan sementara nama senior yang membubuhkan tanda tangan. Itu juga berarti waktu pengerjaan lebih singkat: tidak ada penjadwalan internal dalam tim, tidak ada pertanyaan di tengah proyek yang harus lewat account manager.
Mengapa cybershells.com
- 8 sertifikasi yang dapat diverifikasi secara independen - OSCP/OSCP+, eCPPT, eWPT, eCIR, AZ-500, SC-200, SC-300
- Latar belakang detection engineering - menguji seperti cara penyerang sungguhan bergerak, karena orang yang menguji dulunya menulis aturan deteksi yang seharusnya menangkap mereka
- Peneliti keamanan yang mempublikasikan karya - tentang teknik phishing dan penyalahgunaan infrastruktur tepercaya
- Metodologi yang terbuka - Arsenal adalah materi rujukan yang sama dengan yang dipakai pada proyek nyata, diterbitkan secara terbuka alih-alih disimpan sebagai kotak hitam
- Harga tetap, tertulis sebelum pengujian dimulai - lihat harga
Layanan yang tersedia
Pertanyaan seputar perekrutan
Mulailah dengan panggilan pembahasan lingkup gratis - 30 menit untuk menelusuri lingkungan, sasaran, dan pemicu kepatuhan Anda. Dalam 24 jam Anda menerima proposal tertulis berisi lingkup yang pasti, harga tetap, dan jadwal. Tidak perlu proses pengadaan untuk memulai, meski saya dengan senang hati mengikuti proses Anda jika ada.
Dengan freelance, orang yang menentukan lingkup adalah orang yang menjalankan proyek dan menulis laporan - tanpa account manager, dan tanpa penguji junior yang mengerjakan pekerjaan sesungguhnya sementara nama senior tercantum di proposal. Umumnya itu berarti pengerjaan lebih cepat, komunikasi langsung dari awal sampai akhir, dan harga tanpa tambahan margin agensi.
Keduanya. Proyeknya berkisar dari pengujian satu aplikasi untuk startup tahap awal hingga penilaian Active Directory menyeluruh untuk lingkungan yang lebih besar. Harga mengikuti lingkup, bukan ukuran perusahaan Anda.
Bisa. Setiap proyek dimulai dengan perjanjian kerahasiaan timbal balik dan dokumen aturan pelaksanaan yang ditandatangani. Kuesioner vendor dan perjanjian induk standar ditangani sebagai bagian dari proses awal kerja sama - kirimkan saja pada tahap pembahasan lingkup.
Gambaran kasar tentang apa yang masuk lingkup (aplikasi, jaringan, Active Directory), perkiraan skala (peran pengguna, jumlah host, kerumitan domain), dan tenggat apa pun yang sedang Anda kejar - misalnya tanggal audit kepatuhan. Jika Anda belum yakin, tidak masalah: panggilan pembahasan lingkup akan melengkapi bagian yang kosong.
Ya, 100% jarak jauh, dengan klien di Inggris, Eropa, Timur Tengah, dan seluruh dunia. Berbasis di Amman, Yordania (GMT+3), dengan jam kerja yang disesuaikan agar beririsan dengan tim Anda.
Bicaralah dengan orang yang akan mengerjakannya
Panggilan lingkup gratis, proposal harga tetap dalam 24 jam.