BlogBeveiliging
Zo bereid je een securityonderzoek van je applicatie voor
Een praktische checklist voor scope, toegang en veilig testen.
Een zinvol securityonderzoek begint met duidelijkheid over wat je wilt laten onderzoeken en hoe dat veilig kan. Je hebt geen perfecte specificatie nodig, maar een aantal afspraken vooraf voorkomt vertraging en misverstanden.
Bepaal de vraag en grenzen
Maak een overzicht van de applicaties, API’s en omgevingen die je wilt laten onderzoeken, met hun eigenaren en de belangrijkste vragen. Leg ook vast wat buiten scope valt, waaronder systemen van derden. Bepaal wie toestemming mag geven en regel schriftelijke toestemming voordat actief onderzoek begint.
Spreek methoden, tijdstippen, contactpersonen en een stopprocedure af. Bespreek ook wat er gebeurt wanneer een onderzoeker een onbekend systeem of risico tegenkomt: de ontdekking zelf geeft geen toestemming om verder te testen.
Bereid toegang en context voor
Zorg voor geschikte testaccounts voor de te onderzoeken rollen en deel toegang via een veilig kanaal, niet via wachtwoorden in een document of ticket. Spreek af wanneer toegang verloopt en wordt ingetrokken. Een eenvoudig architectuuroverzicht, API-documentatie en voorbeelden van belangrijke processen helpen de onderzoeker het systeem te begrijpen.
Bepaal welke gegevens gevoelig zijn en spreek af hoe ermee wordt omgegaan, hoe lang ze worden bewaard en wanneer ze worden verwijderd. Gebruik waar mogelijk veilige testgegevens. Bespreek of e-mails, betalingen, koppelingen met derden of wijzigingen in gedeelde data moeten worden vermeden, nagebootst of opgeruimd.
Spreek rapportage en vervolg af
Bepaal wie urgente bevindingen ontvangt, hoe die persoon bereikbaar is en wat het eindrapport moet bevatten. Vraag naar de onderzochte scope, bevindingen, beperkingen en onderdelen die niet zijn getest. Spreek hulp bij herstel of een hertest afzonderlijk af; een rapport geeft op zichzelf geen toestemming voor extra onderzoek.
Bespreek je situatie met ons via de dienst security-audits.
