تعریف محدوده، سطح دسترسی، روش بررسی و قواعد حفاظت از اطلاعات
ممیزی امنیت نرم‌افزار
ریسک‌های امنیتی کد و سامانه را به برنامه اصلاح تبدیل کنید
می‌خواهید بدانید کد و تنظیمات سامانه چه مشکلات امنیتی دارند و اصلاح را از کجا شروع کنید؟ معماری، کد، دسترسی‌ها و وابستگی‌ها را در محدوده توافق‌شده بررسی می‌کنیم. گزارش هر مشکل شامل دلیل فنی، اثر احتمالی، اولویت و پیشنهاد اصلاح است.
این خدمت یک بررسی فنی مستقل است و به‌معنای ارزیابی رسمی، تست نفوذ بدون مجوز، صدور گواهی امنیتی یا ارائه خدمات دارای پروانه افتا نیست.
چه کمکی می‌کنیم؟
چه زمانی به این خدمت نیاز دارید؟
- پیش از انتشار یا تحویل، از وضعیت امنیتی کد و پیکربندی مطمئن نیستید.
- ممیزی قبلی فهرستی از خطاها داده، اما اولویت و مسیر اصلاح روشن نیست.
- سامانه قدیمی است و تغییر در احراز هویت، دسترسی یا وابستگی‌ها ریسک ایجاد می‌کند.
- تیم توسعه برای بازبینی مستقل معماری و کد حساس به کمک نیاز دارد.
- می‌خواهید پیش از اقدام پرهزینه، محدوده واقعی مشکلات امنیتی را مشخص کنید.
آنچه تحویل می‌گیرید
چه چیزی تحویل می‌گیرید؟
گزارش یافته‌ها با شدت، شواهد فنی، اثر و اولویت اصلاح
برنامه اصلاح مرحله‌ای و جلسه انتقال دانش برای تیم فنی
مراحل همکاری
از شروع همکاری تا تحویل
- 01
تعیین محدوده و مجوز
نتیجه این مرحله: دارایی‌ها، دسترسی‌ها، محیط مجاز و موارد خارج از بررسی
- 02
شناخت معماری و داده
نتیجه این مرحله: نقاط اعتماد، نقش‌ها، داده‌های حساس و مسیرهای اصلی
- 03
بازبینی کد و پیکربندی
نتیجه این مرحله: یافته‌های قابل بازتولید در محدوده توافق‌شده
- 04
تحلیل و اولویت‌بندی
نتیجه این مرحله: شدت، احتمال، اثر کسب‌وکار و ترتیب اصلاح
- 05
گزارش و همراهی اصلاح
نتیجه این مرحله: گزارش نهایی، جلسه فنی و روش راستی‌آزمایی اصلاح‌ها
زمان و هزینه
زمان و هزینه چطور مشخص می‌شود؟
ابتدا نیازها و وضعیت پروژه را بررسی می‌کنیم؛ سپس زمان و هزینه را پیشنهاد می‌دهیم. این موارد در برآورد اثر دارند:
- حجم و تعداد مخزن‌های کد
- تعداد سرویس‌ها و نقش‌های کاربری
- فناوری‌ها و وابستگی‌ها
- سطح مستندات موجود
- محیط و سطح دسترسی بررسی
- دامنه زیرساخت و استقرار
- نیاز به راستی‌آزمایی اصلاح‌ها
- حساسیت داده و قواعد محرمانگی
کاهش ریسک پروژه
از وضعیت کار باخبر می‌مانید
کارهای مورد توافق
پیش از شروع هر مرحله مشخص می‌کنیم چه چیزی باید تحویل شود.
تحویل کد و راهنماها
کد و اطلاعات لازم برای ادامه پروژه، بخشی از تحویل است.
مالکیت کد و دسترسی‌ها
مالک کد، سرویس‌ها و دسترسی‌ها در قرارداد مشخص می‌شود.
حفاظت از اطلاعات پروژه
برای حفاظت از اطلاعات حساس می‌توانیم قرارداد محرمانگی ببندیم.
تحویل مرحله‌به‌مرحله
پیش از پایان کل پروژه، نتیجه هر مرحله را می‌بینید.
پشتیبانی مشخص
نوع و مدت پشتیبانی پیش از تحویل نهایی روشن می‌شود.
پرسش‌های رایج
پرسش‌های شما درباره این خدمت
این خدمت با تست نفوذ چه تفاوتی دارد؟
تمرکز این خدمت بر بازبینی فنی کد، معماری و پیکربندی در محدوده مجاز است. تست نفوذ فعال، ارزیابی رسمی یا صدور گواهی فقط در صورت تعریف جداگانه و داشتن مجوزهای لازم قابل طرح است.
برای شروع باید کد منبع را تحویل دهیم؟
به هدف بررسی بستگی دارد. بازبینی کد به دسترسی کنترل‌شده به مخزن نیاز دارد؛ اما بعضی بررسی‌های معماری یا پیکربندی را می‌توان با دسترسی محدودتر آغاز کرد.
گزارش نهایی چه اطلاعاتی دارد؟
برای هر یافته، محل و شواهد، شدت و اثر، شرایط رخداد، پیشنهاد اصلاح و اولویت اجرا ثبت می‌شود. یافته‌ها پیش از نهایی‌شدن با تیم فنی مرور می‌شوند.
آیا بعد از اصلاح دوباره بررسی انجام می‌شود؟
بله. راستی‌آزمایی اصلاح‌ها می‌تواند از ابتدا در محدوده کار قرار گیرد تا وضعیت هر یافته پس از تغییر مشخص شود.
از توضیح نیازتان شروع کنیم
در گفت‌وگوی اول، نیاز و وضعیت پروژه را بررسی می‌کنیم. این گفت‌وگو تعهدی برای عقد قرارداد ایجاد نمی‌کند.