היקף הבדיקה וכללי העבודה
מה נכנס לבדיקה ומה לא, באילו סביבות היא נעשתה, ובאילו תנאים. בלי זה קשה לדעת מה הדוח מייצג, ומה נשאר מחוץ לבדיקה.
דוח מבדק חדירות: מה צריך להיות בו
מה בודקים בדוח טוב, במה הוא שונה מרשימת ממצאים של סריקה, ואיך עובדים איתו אחרי שהבדיקה מסתיימת
Penetration Test Report: scope, findings, remediation
דוח בעברית שאפשר להעביר להנהלה ולצוות
תעדוף תיקון לפי השפעה עסקית
הצעת מחיר בתוך 24 שעות מקבלת הפרטים
למה הדוח חשוב
לקוח, מבקר או מבטח מבקשים לעיתים קרובות "דוח מבדק חדירות". לא כל מסמך שנקרא דוח נותן להם את מה שהם צריכים, ולא כל דוח עוזר לצוות שלכם לתקן. דוח טוב מסביר מה נבדק, מה נמצא, מה הסיכון, ובמה לטפל קודם.
הדוח הוא התוצר העיקרי של בדיקת חדירות. הוא לא תעודה וגם לא הבטחה שהמערכת חסינה. הוא תיעוד של בדיקה מדגמית, בנקודת זמן, בהיקף שאושר מראש.
מה צריך להיות בדוח מבדק חדירות
אלה החלקים שמאפשרים להנהלה להבין את הסיכון, לצוות לתקן, ולמבקר לראות מה נבדק ומה לא.
תקציר להנהלה
תמונה קצרה בעברית: מה נמצא, מה הסיכון העסקי, ובמה מומלץ לטפל קודם. בלי להניח שהקורא הוא איש אבטחה.
ממצאים מפורטים
לכל ממצא: מה נמצא, באיזו מערכת, מה ההשפעה האפשרית, והוכחת היתכנות כאשר היא נדרשת. הפירוט צריך להספיק כדי לשחזר את הבעיה ולתקן אותה.
דירוג חומרה ותעדוף
ממצאים מדורגים לפי חומרה, עם CVSS כנקודת ייחוס, ותעדוף לפי השפעה עסקית. כך הצוות לא נשאר עם רשימה ארוכה בלי סדר עבודה.
הנחיות תיקון
המלצות קונקרטיות לצוות שמטפל במערכות, לא רק שם כללי של החולשה. במהלך התיקון אנחנו זמינים לשאלות.
מגבלות הבדיקה
בדיקת חדירה היא מדגמית ונקודתית בזמן. בדוח צריך להיות כתוב במפורש שהיא אינה קובעת שהמערכת חסינה, ואינה מהווה אישור עמידה בתקן או ברגולציה.
מה הדוח לא מחליף
D² Security אינה גוף הסמכה. אנחנו לא מנפיקים תעודת ISO 27001, לא חותמים על דוח SOC 2, ולא מאשרים עמידה בחוק או בתקנות. הדוח מתעד את הבדיקה שבוצעה ואת הממצאים שנמצאו בהיקף שאושר.
אם הדרישה מגיעה מרגולציה, למשל תקנות אבטחת מידע, ISO 27001 או PCI DSS, כדאי לקרוא גם את העמוד בדיקת חדירה לעמידה ברגולציה ואת תיקון 13 לחוק הגנת הפרטיות. השאלה המשפטית מה חל על הארגון שלכם נבחנת מול עורך דין.
איך עובדים עם הדוח אחרי קבלתו
תיקון לפי סדר עדיפות
מתחילים בממצאים שמשפיעים יותר על העסק, ולא בהכרח ברשימה לפי סדר הופעה בדוח.
ליווי בתיקון
במהלך התיקון אפשר לפנות בשאלות על ממצא או על דרך הטיפול שבוחרים.
בדיקה חוזרת אחת
לאחר התיקונים מתבצעת בדיקה חוזרת אחת של הממצאים שדווחו, כדי לאשר מה תוקן ומה נשאר פתוח.
הממצאים ונתוני הבדיקה נשמרים בישראל באופן מוצפן, ונמחקים בסיום ההתקשרות לאחר קבלת אישורכם בכתב. לסקירה של סוגי הבדיקות ראו בדיקת חדירות: סוגים ותהליך.
שאלות נפוצות
מה ששואלים אותנו כשמבקשים דוח מבדק חדירות.
מה צריך להיות בדוח מבדק חדירות?
דוח מבדק חדירות צריך לכלול את היקף הבדיקה, תקציר להנהלה, ממצאים מפורטים עם דירוג חומרה, הנחיות תיקון, ואת מגבלות הבדיקה. בדוח שלנו נוספים גם תעדוף לפי השפעה עסקית, CVSS כנקודת ייחוס, והוכחת היתכנות כאשר היא נדרשת.
האם דוח מבדק חדירות הוא אישור עמידה בתקן או בחוק?
לא. הדוח מתעד מה נמצא בהיקף שאושר, בנקודת זמן מסוימת. הוא אינו תעודת ISO 27001, אינו דוח SOC 2 ואינו אישור עמידה בתיקון 13 או בתקנות אבטחת מידע. הוא כן יכול לשמש תיעוד שמצרפים לביקורת או למסמכים שהעורך דין או הממונה מבקשים. לפירוט על הדרישות בישראל ראו בדיקת חדירה לעמידה ברגולציה.
באיזו שפה נכתב הדוח?
הדוח נכתב בעברית. אפשר לכלול תקציר או חלקים באנגלית אם הלקוח או המבקר מבקשים זאת, וזה נקבע בשלב האפיון.
מה קורה אחרי שמקבלים את הדוח?
מתקנים לפי סדר העדיפויות, עם ליווי ומענה לשאלות במהלך התיקון. לאחר מכן מתבצעת בדיקה חוזרת אחת של הממצאים שדווחו. הממצאים ונתוני הבדיקה נשמרים בישראל באופן מוצפן, ונמחקים בסיום ההתקשרות לאחר אישור בכתב.
האם סריקת פגיעויות יכולה להחליף דוח מבדק חדירות?
בדרך כלל לא. סריקה אוטומטית מאתרת בעיקר חולשות מוכרות ומוציאה רשימת ממצאים. מבדק חדירות כולל עבודה ידנית, בודק גם הרשאות ולוגיקה עסקית, ומסביר מה הסיכון ומה לתקן קודם. אם לקוח או מבקר ביקשו דוח מבדק חדירות, סריקה לבדה בדרך כלל לא תענה על הדרישה.
בואו נתחיל
ספרו לנו מה נדרש בדוח, ותקבלו הצעת מחיר עם היקף בדיקה מוגדר בתוך 24 שעות