آمادگی ارزیابی امنیتی محصول

آماده‌سازی نرم‌افزار برای دریافت گواهی افتا

برای آماده‌کردن نرم‌افزار خود برای ارزیابی امنیتی افتا، از بررسی وضعیت محصول شروع کنید. معماری، کد، تنظیمات و مستندات را بررسی می‌کنیم و ایرادهای توافق‌شده را اصلاح می‌کنیم. در پایان، گزارش آمادگی، شرح تغییرات و نتیجه بررسی دوباره اصلاح‌ها را در محدوده قرارداد تحویل می‌گیرید.

مشاهده نمونه‌کارها

این خدمت شامل آماده‌سازی فنی محصول و همراهی تیم توسعه است؛ افتاچک آزمایشگاه ارزیابی یا صادرکننده گواهی نیست و دریافت گواهی را تضمین نمی‌کند. تصمیم نهایی در فرایند رسمی ارزیابی انجام می‌شود.

پاسخ کوتاه

محصول موجود دارید، گزارش عدم‌انطباق دارید یا پروژه جدید می‌سازید؟

اگر نرم‌افزار موجود دارید و می‌خواهید آن را برای ارزیابی امنیتی آماده کنید، این خدمت مناسب شماست. بسته به اینکه هنوز ارزیابی را شروع نکرده‌اید یا گزارش گرفته‌اید، نوع بررسی و اصلاح‌ها را با شما مشخص می‌کنیم.

پیش از ارزیابی رسمی

برای شناخت شکاف‌های کد، معماری، پیکربندی و مستندات پیش از شروع فرایند.

پس از اعلام عدم‌انطباق

برای تحلیل یافته‌ها، تعیین اولویت و اجرای اصلاح‌های قابل راستی‌آزمایی.

پروژه جدید

برای ساخت نرم‌افزار از ابتدا، خدمت «توسعه نرم‌افزار امن» را بررسی کنید؛ لینک آن در بخش خدمات مرتبط همین صفحه قرار دارد.

چه کمکی می‌کنیم؟

چه زمانی به این خدمت نیاز دارید؟

  • نمی‌دانید محصول پیش از ارزیابی رسمی چه فاصله‌ای با الزامات امنیتی دارد.
  • کد، تنظیمات استقرار و مستندات فنی در چند تیم یا مخزن پراکنده‌اند.
  • یافته یا عدم‌انطباق امنیتی دارید، اما اولویت و مسئول هر اصلاح روشن نیست.
  • برای توضیح معماری، نصب، نقش‌ها و تنظیمات امن محصول به مستندات منسجم نیاز دارید.
  • برای آماده‌سازی نسخه جدید محصول، به بررسی اثر تغییرات کد، وابستگی‌ها و زیرساخت نیاز دارید.
  • می‌خواهید پیش از ورود به ارزیابی، محدوده اصلاح، هزینه همکاری فنی و خروجی تحویل روشن باشد.

آنچه تحویل می‌گیرید

چه چیزی تحویل می‌گیرید؟

گزارش آمادگی محصول؛ نسخه بررسی‌شده، بخش‌های بررسی‌شده، ایرادها و محدودیت‌های بررسی

فهرست اصلاح‌ها؛ اولویت هر مشکل، مسئول انجام، پیش‌نیاز و شرایط تأیید نتیجه

اصلاح‌های توافق‌شده در کد یا پیکربندی همراه با شرح تغییرات و راهنمای اعمال آن‌ها

مستندات توافق‌شده درباره معماری، نصب و استقرار، نقش‌ها، دسترسی‌ها و تنظیمات امن

گزارش بررسی دوباره اصلاح‌ها؛ روش آزمون، نتیجه و مواردی که هنوز به اقدام نیاز دارند

جمع‌بندی تحویل با وضعیت یافته‌ها، ریسک‌های باقیمانده و مسئولیت‌های مرحله بعد

مراحل همکاری

از شروع همکاری تا تحویل

  1. 01

    شناخت محصول و توافق بر محدوده

    نتیجه این مرحله: نسخه و اجزای محصول، مرحله ارزیابی، خروجی‌های قرارداد، محرمانگی و دسترسی‌های مجاز

  2. 02

    بررسی آمادگی یا تحلیل گزارش موجود

    نتیجه این مرحله: شکاف‌های معماری، کد، وابستگی‌ها، کنترل دسترسی، استقرار و مستندات در دامنه توافق‌شده

  3. 03

    تعیین برنامه، زمان و هزینه اصلاح

    نتیجه این مرحله: اولویت یافته‌ها، مسئول هر اقدام، معیار پذیرش و برآورد اجرای کار پس از شناخت وضعیت واقعی

  4. 04

    اجرای اصلاح‌ها و تکمیل مستندات

    نتیجه این مرحله: تغییرهای قابل بازبینی و مدارک فنی توافق‌شده، با هماهنگی تیم توسعه و محیط آزمایش

  5. 05

    بررسی دوباره و تحویل

    نتیجه این مرحله: نتیجه بررسی اصلاح‌ها، موارد باز و ریسک‌های باقیمانده؛ همراهی در پاسخ فنی به یافته‌های بعدی فقط در محدوده قرارداد

زمان و هزینه

زمان و هزینه چطور مشخص می‌شود؟

ابتدا نیازها و وضعیت پروژه را بررسی می‌کنیم؛ سپس زمان و هزینه را پیشنهاد می‌دهیم. این موارد در برآورد اثر دارند:

  • نوع محصول، نسخه و تعداد اجزای بررسی
  • تعداد و شدت یافته‌ها یا عدم‌انطباق‌های موجود
  • پیچیدگی کد، معماری و وابستگی‌ها
  • وضعیت دسترسی به کد و محیط آزمایش
  • حجم مستندات و اصلاح‌های توافق‌شده
  • تعداد نوبت‌های راستی‌آزمایی و محدوده همراهی

کاهش ریسک پروژه

از وضعیت کار باخبر می‌مانید

کارهای مورد توافق

پیش از شروع هر مرحله مشخص می‌کنیم چه چیزی باید تحویل شود.

تحویل کد و راهنماها

کد و اطلاعات لازم برای ادامه پروژه، بخشی از تحویل است.

مالکیت کد و دسترسی‌ها

مالک کد، سرویس‌ها و دسترسی‌ها در قرارداد مشخص می‌شود.

حفاظت از اطلاعات پروژه

برای حفاظت از اطلاعات حساس می‌توانیم قرارداد محرمانگی ببندیم.

تحویل مرحله‌به‌مرحله

پیش از پایان کل پروژه، نتیجه هر مرحله را می‌بینید.

پشتیبانی مشخص

نوع و مدت پشتیبانی پیش از تحویل نهایی روشن می‌شود.

تجربه اجرای پروژه

AftaCheck؛ بررسی عمومی وضعیت فنی سایت

ابزاری عمومی برای بررسی چند نشانه فنی سایت و نمایش نتیجه به زبان ساده. این ابزار تست نفوذ یا گواهی امنیتی نیست.

نقش تیم: طراحی محصول، ساخت رابط و API، کنترل دامنه ورودی و مشخص‌کردن محدودیت‌های گزارش

نتیجه پروژه: بررسی اولیه با توضیح روشن محدودیت‌ها

جزئیات نمونه‌کار

پرسش‌های رایج

پرسش‌های شما درباره این خدمت

آیا این خدمت همان صدور گواهی افتا است؟

خیر. این صفحه درباره آماده‌سازی فنی محصول است. ارزیابی رسمی و تصمیم درباره گواهی در مسیر رسمی و توسط مراجع مربوط انجام می‌شود.

آیا برای دریافت پروانه خدمات افتا هم می‌توان درخواست داد؟

این خدمت برای آماده‌کردن یک محصول نرم‌افزاری است. دریافت پروانه فعالیت شرکت در حوزه خدمات افتا، موضوع جداگانه‌ای است و در این قرارداد قرار نمی‌گیرد. در درخواستتان بنویسید به گواهی محصول نیاز دارید یا پروانه خدمات.

آیا بدون دسترسی به کد هم می‌توان شروع کرد؟

برای بررسی اولیه معماری و مستندات می‌توان با دسترسی محدود شروع کرد؛ اما رفع دقیق ریسک‌های کدنویسی معمولاً به دسترسی کنترل‌شده به مخزن نیاز دارد.

اگر آزمایشگاه یافته‌ای اعلام کرده باشد، همکاری چگونه است؟

گزارش را بررسی می‌کنیم و برای هر ایراد، کار لازم، مسئول و اولویت را مشخص می‌کنیم. در صورت توافق، اصلاح‌ها را انجام می‌دهیم و نتیجه را دوباره بررسی می‌کنیم.

آیا دریافت گواهی تضمین می‌شود؟

خیر. نتیجه نهایی به محصول، دامنه ارزیابی و تصمیم فرایند رسمی وابسته است؛ ما فقط آمادگی فنی و مستندسازی را تقویت می‌کنیم.

هزینه و زمان آماده‌سازی چقدر است؟

ابتدا محصول، کد، مستندات و گزارش‌های موجود را بررسی می‌کنیم؛ سپس کارهای لازم، زمان و هزینه را پیشنهاد می‌دهیم. هزینه آماده‌سازی فنی با هزینه ارزیابی رسمی و دریافت گواهی جداست. هزینه‌های خارج از قرارداد را باید از مرجع مربوط بپرسید.

چه مستنداتی را آماده می‌کنید؟

با توجه به نیاز محصول، می‌توانیم مستندات معماری، نصب و راه‌اندازی، نقش کاربران، دسترسی‌ها، تنظیمات امن و نتیجه اصلاح‌ها را تهیه یا تکمیل کنیم. فهرست مدارک را بر اساس نیاز محصول و الزامات اعلام‌شده در مسیر رسمی، پیش از شروع کار با شما توافق می‌کنیم.

اگر هنوز نرم‌افزار نداریم، از کجا شروع کنیم؟

برای پروژه جدید، خدمت «توسعه نرم‌افزار امن» مناسب‌تر است. ابتدا نیازها، داده‌ها، نقش‌ها و معماری تعریف می‌شوند؛ آماده‌سازی محصول برای ارزیابی، متناسب با مرحله توسعه و در محدوده جداگانه برنامه‌ریزی می‌شود.

آیا پس از تحویل هم در رفع یافته‌های جدید همراهی می‌کنید؟

بله، در صورت توافق می‌توانیم پاسخ فنی و اصلاح‌های بعدی را هم در قرارداد قرار دهیم. مدت همکاری، تعداد بررسی‌ها و وظایف تیم توسعه از ابتدا مشخص می‌شوند. برای مواردی که در قرارداد نیستند، زمان و هزینه جداگانه پیشنهاد می‌دهیم.

برای بررسی آمادگی محصول، از این اطلاعات شروع کنید

فرم با گزینه «آمادگی ارزیابی امنیتی افتا» باز می‌شود. کاربرد محصول و مرحله فعلی ارزیابی را کوتاه توضیح دهید تا مشخص کنیم بررسی را از کجا شروع کنیم.

  • محصول و فناوری: کاربرد نرم‌افزار، فناوری‌های اصلی، اجزا و نقش‌های کاربری.
  • وضعیت ارزیابی: پیش از شروع، در حال بررسی یا دارای گزارش عدم‌انطباق؛ وضعیت کد و مستندات موجود.
  • نیاز همکاری: بررسی آمادگی، اجرای اصلاح‌ها یا مستندسازی؛ زمان مورد انتظار و امکان دسترسی کنترل‌شده به کد.

گزارش محرمانه، کد منبع، رمز، توکن و داده کاربران را در فرم عمومی ارسال نکنید. دریافت مدارک و دسترسی فنی پس از توافق درباره محرمانگی و محدوده همکاری هماهنگ می‌شود.

از توضیح نیازتان شروع کنیم

در گفت‌وگوی اول، نیاز و وضعیت پروژه را بررسی می‌کنیم. این گفت‌وگو تعهدی برای عقد قرارداد ایجاد نمی‌کند.