Black box
Prospettiva esterna
Il tester inizia senza conoscenze interne o credenziali, riproducendo fedelmente la prospettiva di un attore malevolo esterno.
Metodologia
Valutazioni supportate da evidenze, in condizioni controllate.
Ogni test di penetrazione e audit IT inizia con obiettivi definiti e un'autorizzazione scritta. Il metodo e i criteri di valutazione vengono selezionati in funzione dell'ambiente e del livello di garanzia richiesto.
Gray box
Una prospettiva informata
Vengono forniti accesso e informazioni di contesto limitati per esaminare le aree autenticate e verificare in modo efficiente i confini dei privilegi in scenari realistici.
White box
Esame nel contesto completo
È possibile includere architettura, codice sorgente e contesto amministrativo per garantire una copertura approfondita e maggiori garanzie durante lo sviluppo.
Regole di ingaggio
Controllo professionale in ogni fase.
Ambito e autorizzazione in forma scritta
Accordo di riservatezza firmato prima dei test
Referenti designati per l'escalation
Finestre di test concordate
Risultanze convalidate corredate di evidenze
Indicazioni per la correzione ordinate in base al rischio
Dalla definizione dell'ambito alla conferma.
01
Ambito e autorizzazione
Definisca obiettivi, sistemi approvati, vincoli, finestre di test, contatti e regole di ingaggio.
02
Analisi preliminare
Definisca la superficie di attacco autorizzata, l'architettura, i ruoli utente, gli asset e i criteri di valutazione applicabili.
03
Test controllati
Valutare il perimetro approvato utilizzando metodi manuali e tecnici adeguati all'ambiente.
04
Validazione
Confermare i risultati in sicurezza, eliminare i falsi positivi e determinare l'impatto concreto sul piano tecnico e aziendale.
05
Reportistica
Riceva risultati supportati da evidenze, valutazioni del rischio, una sintesi per la direzione e le priorità di correzione.
06
Revisione degli interventi correttivi
Esamini le azioni correttive proposte e chiarisca le priorità di implementazione con il team di valutazione.
07
Nuovo test
Verifichi le correzioni concordate e registri se ciascuna criticità sottoposta a test è stata risolta, mitigata o rimane aperta.