Poniżej załączam krótką informację na temat wykonywanych przeze mnie audytów. Zaznaczam, że nie trzymam się sztywno ustalonego scenariusza, a to ze względu na to, że każda firma jest inna. Nie wszyscy mają stronę na WordPress czy Joomla. Są różne frameworki, które wymagają zróżnicowanego podejścia do tematu. Zapewniam, że jest nad czym się głowić.
Sam audyt, bez względu na to czy jest on z kategorii bezpieczeństwo IT, wdrożenie serwisu WWW lub ocena już istniejącej infrastruktury, jest opracowany najwyżej w zakresie średnio zaawansowanym. A to dlatego, że szczegółowe opracowanie takiego dokumentu zajmuje sporo czasu. Kilka dni a nawet tygodni (bezpieczeństwo informatyczne; zazwyczaj). Niemniej jednak staram się podejść do tematu na tyle wyczerpująco aby był on użyteczny dla odbiorcy i pozwolił na szybkie poprawienie błędów.
Jeśli chodzi o długość raportu / oferty (dokument połączony) to nie mam żadnych konkretów. Czasami są to dane, które mieszczą się na trzech stronach a czasem jest ich kilkanaście. Jak dotąd, najdłuższy raport, który opracowałem dla firmy, zajmował blisko 100 stron.
Sam dokument ma stronę tytułową a na niej zdefiniowany rodzaj dokumentu, datę wystawienia, określenie klauzuli jawności oraz moje dane kontaktowe. Kolejna strona zawiera podstawowe informacje na temat materiału jaki znajduje się w dokumencie oraz krótkie wytyczne jak postępować z raportem. Informacje te są standardowe i dotyczą ważności mojej oferty, terminu naprawienia podatności, sposobu i warunków kontaktu, wstępnej analizy, ewentualnej płatności, poprawek, uwag dodatkowych, bezpieczeństwa oraz prawnych podstaw (dotyczy szukania podatności bezpieczeństwa).
Po co te wszystkie dane? Czasami niektórzy mają dziwne pomysły, więc staram się wyjaśnić już na początku, że nie działam w złej wierze, a jedynie staram się pomóc. Proszę mi wierzyć, że są firmy, które mają świadomość istnienia błędów w swojej infrastrukturze a jednak nic z tym nie robią. Zaznaczam, że w większości przypadków dokument zawiera informacje jak naprawić podatność. A mimo to nic się nie dzieje. Niestety stwarza to zagrożenie między innymi wycieku danych wrażliwych lub przejęcia infrastruktury. Zawsze oferuję pomoc w rozwiązaniu problemu, o ile firma / osoba tego chce i pozwoli mi na to. Wybaczcie, ale wykrycie nieaktualnego i podatnego na atak sklepu internetowego wymaga reakcji.
Jeszcze raz powtórzę! Jeśli w dokumencie jaki przesyłam lub w treści maila nie ma ani słowa o honorarium za wykonaną pracę, to ta praca jest darmowa. Łącznie z pomocą we wdrożeniu nowych rozwiązań.
Audyt / oferta wdrożenia serwisu WWW
Dokument zawiera analizę odnośnie