Welche spezifischen Methoden und Standards verwenden Sie für Penetrationstests?
Bei Elementrica stützen wir uns bei unseren Penetrationstests auf internationale Standards und bewährte Methoden, um die Vollständigkeit und Wirksamkeit unserer Dienstleistungen zu gewährleisten. Wir verwenden: PTES (Penetration Testing Execution Standard): Dieser Standard bietet einen detaillierten Rahmen für die Durchführung von Penetrationstests, der alle Phasen von der Planung bis zur Berichterstattung abdeckt. OWASP-Prüfungsleitfaden: Für das Testen von Webanwendungen verwenden wir die OWASP-Richtlinien, die sich auf die Identifizierung und Beseitigung von Schwachstellen in Webanwendungen konzentrieren. NIST SP 800-115: Dies ist der technische Leitfaden des NIST für Informationssicherheitstests und -bewertungen, der uns dabei hilft, bei den Tests die höchsten Standards einzuhalten. Unser Ansatz kombiniert diese Methoden, so dass wir die Tests für jeden Kunden individuell gestalten können.
Über welche Qualifikationen und Zertifizierungen verfügen Ihre Pentester?
Unsere Pentester sind hochqualifizierte Fachleute mit einer breiten Palette von branchenweit anerkannten Zertifizierungen, wie zum Beispiel: Offensive Sicherheit: OSCP (Offensive Security Certified Professional) OSCE3 (Offensive Security Certified Expert 3) OSEP (Offensive Security Experienced Penetration Tester) OSED (Offensive Security Exploit Developer) OSWE (Offensive Security Web Expert) OSWA (Offensive Security Web Assessor) OSWP (Offensive Security Wireless Professional). Andere Zertifizierungen: BSCP (Burp Suite Certified Practitioner). CPTS (Certified Penetration Testing Specialist) CBBH (HTB Certified Bug Bounty Hunter). CREST CPSA (Praktizierender Sicherheitsanalytiker). CREST CRT (Registered Penetration Tester) ISO/IEC 27001 Lead Auditor Microsoft Certified: Azure Security Engineer Associate Microsoft Zertifiziert: Security Operations Analyst Associate Microsoft 365 Certified: Security Administrator Associate Wir verlangen, dass alle unsere Junior-Penetester mindestens OSCP-zertifiziert sind, um ein hohes Kompetenzniveau innerhalb unseres Teams zu gewährleisten.
Wie stellen Sie die Vertraulichkeit und Sicherheit unserer Daten während und nach den Tests sicher?
Die Sicherheit und Vertraulichkeit der Daten unserer Kunden hat oberste Priorität. Wir implementieren strenge Sicherheitsverfahren, darunter Geheimhaltungsvereinbarungen (NDAs), die wir unterzeichnen, um Ihre Informationen zu schützen, bevor das Projekt beginnt. Alle während der Tests gesammelten Daten werden verschlüsselt gespeichert, und der Zugriff ist auf autorisierte Teammitglieder beschränkt. Für den Austausch von Informationen und Berichten verwenden wir sichere Kommunikationskanäle. Nach Abschluss eines Projekts befolgen wir die vereinbarten Richtlinien zur Datenaufbewahrung und -entsorgung. Unsere Praktiken entsprechen den Datenschutzvorschriften wie der DSGVO.
Was ist der Reporting-Prozess und welche Informationen enthält der Testbericht?
Unser Reporting-Prozess ist transparent und darauf ausgerichtet, wertvolle Informationen bereitzustellen. Der Bericht enthält eine Zusammenfassung, die die wichtigsten Erkenntnisse und Empfehlungen in einem verständlichen Format zusammenfasst. Außerdem werden die detaillierten Ergebnisse beschrieben, einschließlich jeder erkannten Schwachstelle, deren Risikostufe, technischer Details und potenzieller Auswirkungen. Der Bericht enthält auch Belege für die Erkennung, wie beispielsweise Dokumentationen, Screenshots oder Protokolle, die das Vorhandensein der Schwachstelle bestätigen. Zudem werden spezifische Empfehlungen für die Behebung jeder Schwachstelle gegeben, priorisiert nach Risiko. Eine Beschreibung der Methoden und Werkzeuge, die während der Tests verwendet wurden, ist ebenfalls enthalten. Über unsere E-Zero-Plattform bieten wir interaktive Berichte an, die es einfach machen, den Fortschritt bei der Behebung zu verfolgen und mit unserem Team zusammenzuarbeiten.
Bieten Sie Unterstützung bei der Behebung der entdeckten Schwachstellen nach den Tests an?
Ja, wir bieten Unterstützung im Remediierungsprozess nach Abschluss der Tests an. Wir geben zusätzliche Informationen und Erklärungen zu den erkannten Schwachstellen. Außerdem empfehlen wir bewährte Praktiken und spezifische Lösungen, die auf Ihre Umgebung zugeschnitten sind. Auf Anfrage können wir auch Retests durchführen, um die Wirksamkeit der Behebungsmaßnahmen zu bestätigen. Unser Ziel ist es, sicherzustellen, dass Ihre Organisation die erkannten Bedrohungen erfolgreich behebt.
Wie oft sollten wir in unserer Organisation Penetrationstests durchführen?
Wir empfehlen, mindestens einmal im Jahr Penetrationstests durchzuführen oder nach wesentlichen Änderungen an der IT-Infrastruktur, wie der Implementierung neuer Systeme oder Anwendungen. Die Häufigkeit kann je nach regulatorischen Anforderungen, Risikoprofil und kontinuierlicher Integration und Bereitstellung erhöht werden. Einige Standards können häufigere Tests verlangen, während Unternehmen mit höheren Risikostufen möglicherweise regelmäßige Bewertungen benötigen. Wenn Sie Ihre Systeme häufig aktualisieren, helfen regelmäßige Tests, neue Schwachstellen zu erkennen. Unser Pulse-Service bietet kontinuierliches Sicherheitsscanning und Monitoring, sodass Sie jederzeit Einblicke in den Sicherheitsstatus zwischen den vollständigen Penetrationstests erhalten.
Was sind die Kosten Ihrer Dienstleistungen und können Sie das Angebot an unser Budget anpassen?
Die Kosten der Dienstleistungen hängen vom Umfang und der Komplexität des Projekts ab. Wir bieten wettbewerbsfähige Preise an und sind flexibel darin, das Angebot an Ihr Budget anzupassen. Sobald wir Ihre Bedürfnisse verstehen, werden wir einen detaillierten Vorschlag mit einer transparenten Preisliste erstellen. Unser Pulse-Service ist auch im Abonnement-Modell verfügbar, was für Unternehmen mit begrenztem Budget attraktiv sein kann.