Recimo, da imate logistično skladišče v zaledju Kopra. Program za prevzem blaga, lokacije na policah in izdajo je pred leti napisal zunanji razvijalec, danes zaposlen drugje, ki na sporočila odgovori v nekaj dneh. Program dela, vsi pa se ga bojijo spreminjati. Strežnik poganja različico PHP brez varnostnih popravkov, izvoz za carinske postopke se sestavlja ročno, uprava pa bi rada povezavo z GLS in DPD, portal za stranke in aplikacijo za viličariste na tablicah. Pred tako naložbo je smiselno vedeti, na čem gradite. Pregled sistemov in arhitekture da odgovor v obliki, ki jo razume tudi uprava: kaj je v redu, kaj je nevarno, kaj bo oviralo rast in koliko stane vsak popravek. Delamo izključno z bralnim dostopom in na kopijah, v produkcijskem okolju ne spremenimo ničesar.
Vsako področje pregleda se konča z oceno, kako resno je stanje, in z grobo ceno ureditve. Tako lahko primerjate tveganja med seboj.
Ali so repozitorij, domena, strežnik in naročnine na imenu podjetja? Ali pogodba z razvijalcem prenaša pravice na kodi? Katere odprtokodne knjižnice so uporabljene in ali njihove licence dovoljujejo vaš način uporabe? Brez tega je vsak nadaljnji načrt na trhlih tleh.
Sistem poskusimo postaviti na novo v ločenem okolju, izključno po navodilih, ki obstajajo. Vsak manjkajoči korak, pozabljena nastavitev ali skrivni ključ, ki ga ni nikjer, je zapisan. To je najbolj neposreden preizkus, ali lahko sistem prevzame nekdo drug.
Kje živi poslovna logika, kako so deli med seboj prepleteni in ali je mogoče posamezen del zamenjati, ne da bi se podrlo vse ostalo. Od tega je odvisno, ali je nadgradnja postopna ali pa vse ali nič.
Celovitost podatkov, manjkajoči indeksi, tabele, ki rastejo brez arhiviranja. Hkrati pogledamo, kje so shranjeni osebni podatki, ali so zaščiteni in ali lahko tehnično izpolnite zahteve posameznikov za vpogled in izbris po GDPR.
Shranjevanje gesel, preverjanje pravic na strani strežnika, izpostavljenost skrbniškega vmesnika, odvisnosti z znanimi ranljivostmi. Pregled ni napad na sistem, pokaže pa, kje bi bil penetracijski test najbolj koristen.
Za jezik, ogrodje, podatkovno bazo in operacijski sistem navedemo, kdaj se podpora konča ali se je že končala, in kako zahteven bo prehod. Tako vidite, kateri popravki imajo rok.
Kdo izve, če program ponoči obstane, ali se varnostne kopije obnavljajo, kaj se zgodi, ko Minimax, ponudnik e-računov, Bankart ali dostavna služba ne odgovori pravočasno, in ali se nedokončane transakcije kje zabeležijo.
Trajanje je odvisno od velikosti aplikacije in števila zunanjih povezav. Oceno dobite pred začetkom.
Kratek pogovor o razlogu za pregled in seznam bralnih dostopov, ki jih odprete sami. Gesel po e-pošti ne potrebujemo.
Kodo iz repozitorija skušamo zagnati v ločenem okolju samo z obstoječo dokumentacijo in beležimo vse ovire.
Koda, struktura baze, nastavitve strežnika in dnevniki ter kratki videoklici z ljudmi, ki sistem uporabljajo ali vzdržujejo. Nujna tveganja javimo takoj.
Ugotovitve po resnosti, z oceno cene in predlaganim vrstnim redom. Poročilo skupaj predelamo na videoklicu.
Ocena »koda je slaba« ne pomaga nikomur. Vsaka ugotovitev v našem poročilu ima tri dele: kaj smo našli, kaj se lahko zaradi tega zgodi vašemu poslu in koliko približno stane ureditev. Če popolna prenova res ni potrebna, to jasno zapišemo, saj je postopna utrditev delujočega sistema pogosto cenejša in manj tvegana od pisanja vsega znova.
Kot zavarovanje za obe strani. Pregled ne išče krivca, temveč popiše stanje, ki ga bo razvijalec tako ali tako potreboval pri nadgradnji. Pogosto mu pomaga, da utemelji popravke, ki jih predlaga že dlje časa.
Najprej preverite pogodbo, po potrebi s pravnim svetovalcem, in zahtevajte dostop. Do takrat lahko opravimo omejen pregled strežnika, strukture podatkovne baze in delovanja aplikacije od zunaj.
Da, pregledamo zaledje, API in način, kako mobilna aplikacija ali zunanji sistem komunicira z njim. Za sam videz in uporabnost mobilne aplikacije je primernejši ločen test uporabnosti.
Ne. Mi beremo kodo in nastavitve, penetracijski test pa sistem dejansko napada. Pregled pove, kam naj test meri, in je pogosto smiseln korak pred njim.
Po uvodnem pogovoru dobite ponudbo z oceno ur po 50 € na uro + DDV ali s fiksno ceno, če je obseg dovolj jasen.
Opišite aplikacijo in zakaj jo želite pregledati. Pripravimo poročilo, v katerem so tveganja razvrščena po resnosti in ceni.
Vaše povpraševanje je prispelo
Oglasimo se najpozneje naslednji delovni dan. Če ste prijavili okvaro, zaradi katere ekipa ne more delati, jo pogledamo najprej.
Tega kraja ni na seznamu. Preverite zapis ali izberite najbližje večje mesto. Ker vse delo opravimo na daljavo, je storitev povsod po Sloveniji enaka.
