Testy penetracyjne polegają na przeprowadzeniu na system teleinformatyczny kontrolowanego ataku, który ma umożliwić praktyczną ocenę bieżącego stanu bezpieczeństwa.
Najważniejszym celem jest znalezienie wszystkich podatności i zweryfikowanie możliwości ich wykorzystania przez cyberprzestępców. Dodatkowo weryfikowana jest odporność zabezpieczeń, które już zostały wdrożone.
Testowane systemy poddawane są analizie pod kątem występowania potencjalnych zagrożeń i błędów, takich jak niewłaściwa konfiguracja, luki w oprogramowaniu lub sprzęcie, słabości w technicznych albo proceduralnych środkach zabezpieczeń, czy niewystarczająca świadomość użytkowników.
Testy penetracyjne mogą być realizowane na trzy sposoby:
- blackbox – brak wiedzy o testowanym systemie
- graybox – z ograniczoną wiedzą
- whitebox – z dostępem do pełnej wiedzy
Pentesterzy, czyli osoby prowadzące testy posługują się wieloma narzędziami automatycznymi, takimi jak skanery podatności, jednak odnalezione wyniki są przez nich zawsze manualnie weryfikowane. Odbywa się to poprzez próbę wykorzystania danej podatności i przedstawienie dowodów potwierdzających możliwość wykonania realnego ataku.
Korzyści
- możliwość weryfikacji wdrożonych rozwiązań technicznych oraz procesowo-proceduralnych przez zewnętrzny podmiot, wyspecjalizowany w cyberbezpieczeństwie
- lepsze rozpoznanie i inwentaryzacja własnych zasobów informatycznych, w tym środków zapewniających bezpieczeństwo informacji
- wsparcie w uzyskiwaniu zgodności z regulacjami prawnymi (np. RODO, UKSC), czy też normami (ISO 27001, ISO 22301)
- dostęp do wiedzy audytorów i pentesterów z dużym doświadczeniem w realizacji projektów w wielu organizacjach z różnych branż i sektorów
- gwarancja poufności informacji, dzięki współpracy z firmą posiadającą certyfikaty ISO 27001 (zarządzanie bezpieczeństwem informacji) i ISO 22301 (zarządzenie ciągłością działania) oraz świadectwo bezpieczeństwa przemysłowego pierwszego stopnia o klauzuli „Ściśle Tajne”, NATO Secret oraz EU Secret
