Test di penetrazione - Tester

C'è il problema della protezione dei dati più critici dell'organizzazione; quindi, il ruolo di un penetration tester è molto critico, un errore minore può mettere a rischio entrambe le parti (tester e suo cliente).

Pertanto, questo capitolo discute vari aspetti di un penetration tester tra cui la sua qualifica, esperienza e responsabilità.

Qualifica dei Penetration Testers

Questo test può essere eseguito solo da un penetration tester qualificato; pertanto, la qualificazione di un penetration tester è molto importante.

Un esperto interno qualificato o un esperto esterno qualificato possono eseguire il penetration test fino a quando non sono indipendenti dal punto di vista organizzativo. Significa che il penetration tester deve essere organizzativamente indipendente dalla gestione dei sistemi target. Ad esempio, se una società di terze parti è coinvolta nell'installazione, manutenzione o supporto dei sistemi di destinazione, quella parte non può eseguire test di penetrazione.

Ecco alcune linee guida che ti aiuteranno a chiamare un penetration tester.

Certificazione

Una persona certificata può eseguire test di penetrazione. La certificazione detenuta dal tester è l'indicazione delle sue capacità e competenza di abile penetration tester.

Di seguito sono riportati gli esempi importanti di certificazione dei test di penetrazione:

  • Hacker etico certificato (CEH).

  • Offensive Security Certified Professional (OSCP).

  • Certificazioni CREST Penetration Test.

  • Certificazione Communication Electronic Security Group (CESG) IT Health Check Service.

  • Certificazioni Global Information Assurance Certification (GIAC), ad esempio, GIAC Certified Penetration Tester (GPEN), GIAC Web Application Penetration Tester (GWAPT), Advance Penetration Tester (GXPN) e GIAC Exploit Researcher.

Esperienza passata

Le seguenti domande ti aiuteranno ad assumere un penetration tester efficace:

  • Quanti anni di esperienza ha il penetration tester?

  • È un penetration tester indipendente o lavora per un'organizzazione?

  • Con quante aziende ha lavorato come penetration tester?

  • Ha eseguito test di penetrazione per un'organizzazione con dimensioni e portata simili alla tua?

  • Che tipo di esperienza ha il penetration tester? Ad esempio, condurre test di penetrazione a livello di rete, ecc

  • Puoi anche chiedere il riferimento ad altri clienti per i quali ha lavorato.

Quando si assume un penetration tester, è importante valutare l'esperienza di test dell'ultimo anno dell'organizzazione per la quale (tester) ha lavorato poiché è correlata alle tecnologie da lui specificatamente implementate all'interno dell'ambiente di destinazione.

Oltre a quanto sopra, per situazioni complesse e requisiti tipici del cliente, si raccomanda di valutare la capacità di un tester di gestire un ambiente simile nel suo progetto precedente.

Ruolo di un penetration tester

Un penetration tester ha i seguenti ruoli:

  • Identificare un'allocazione inefficiente di strumenti e tecnologia.

  • Test su sistemi di sicurezza interni.

  • Individua le esposizioni per proteggere i dati più critici.

  • Scopri la preziosa conoscenza delle vulnerabilità e dei rischi in tutta l'infrastruttura.

  • Segnalazione e assegnazione di priorità alle raccomandazioni di rimedio per garantire che il team di sicurezza utilizzi il proprio tempo nel modo più efficace, proteggendo al contempo le maggiori lacune di sicurezza.