Fra første mail til
dokumenteret lukket hul

01

Afklaringsmøde

Dag 0 · 30 minutter · gratis

Vi mødes online og taler om, hvad I har bygget, hvad I er bange for, og hvad der ville gøre mest skade. Ingen salgstale - vi skal først og fremmest finde ud af, om der overhovedet er en opgave, og hvad den i givet fald er.

• →Hvilke systemer findes der, og hvem bruger dem?
• →Hvad ville være værst, hvis det blev kompromitteret?
• →Er der kunder, revisorer eller myndigheder, der stiller krav?
• →Hvad er jeres tidshorisont og budgetramme?

02

Tilbud med fast pris

Inden for 2 arbejdsdage

I får et skriftligt tilbud med præcis afgrænsning, fast pris, tidsplan og en beskrivelse af hvad rapporten vil indeholde. Er noget bevidst holdt uden for testen, står det også i tilbuddet, så der ikke er tvivl bagefter.

• →Fast pris - ingen efterregning
• →Præcis liste over hvad der testes, og hvad der ikke gør
• →Konkret tidsplan med start- og slutdato
• →Beskrivelse af leverancer og genstest

03

Aftale, NDA og testtilladelse

1-3 arbejdsdage

Før vi rører ved et eneste system, skal papirerne være på plads. Vi underskriver NDA - gerne jeres egen skabelon - og I underskriver en testtilladelse, der gør vores arbejde lovligt og afgrænset.

• →NDA underskrives af begge parter
• →Skriftlig testtilladelse med IP-adresser, domæner og tidsrum
• →Kontaktperson og eskalationsvej aftales
• →Anmeldelse til hostingleverandør, hvis det kræves

04

Kortlægning

Første 20 % af testtiden

Vi kortlægger systemet, før vi angriber det: alle endpoints, roller, dataflows og integrationer. Det er den mindst spektakulære del af arbejdet og den, der afgør kvaliteten af resten.

• →Fuld kortlægning af angrebsfladen
• →Rettighedsmatrix over roller og funktioner
• →Identifikation af de mest værdifulde mål

05

Aktiv test

Hovedparten af forløbet

Den manuelle test. Vi forsøger reelt at udnytte det, vi finder, og at kæde fund sammen til noget, der gør skade. Finder vi noget kritisk, hører I det med det samme - typisk inden for en time.

• →Manuel udnyttelse, ikke bare scannerresultater
• →Kritiske fund meldes øjeblikkeligt til jeres kontaktperson
• →Løbende status i længere forløb
• →Skånsom testning uden for spidsbelastning

06

Rapport

3-5 arbejdsdage efter testen

Rapporten skrives på dansk og i to lag: ét afsnit ledelsen kan læse og prioritere ud fra, og en teknisk del med alt hvad udviklerne skal bruge for at rette fejlene.

• →Ledelsesresumé på én side uden jargon
• →Hvert fund med reproduktionstrin og skærmbilleder
• →CVSS-score plus vores egen vurdering i jeres kontekst
• →Prioriteret handlingsplan med estimeret rettetid

07

Gennemgangsmøde

Efter rapporten · 45-60 minutter

Vi går rapporten igennem sammen med jeres udviklere. Det er her, den største værdi ligger: teamet kan spørge direkte til fundene og forstå mønstrene frem for kun at rette de konkrete linjer.

• →Direkte adgang til den, der fandt fejlene
• →Diskussion af løsninger, ikke kun problemer
• →Fælles prioritering af rækkefølgen

08

Genstest

Inden for 60 dage · inkluderet

Når I har rettet, tester vi igen uden ekstra beregning. I får en opdateret rapport, der dokumenterer, at hullerne faktisk er lukket - og den er langt stærkere over for kunder og revisorer end den oprindelige.

• →Verifikation af hver enkelt rettelse
• →Opdateret rapport med endelig status
• →Testcertifikat til deling med kunder og partnere