安全測試不僅是合規性的重要組成部分，而且是整個網站/網絡應用程序安全性的重要組成部分。無論網站安全測試的類型和為此目的選擇的服務提供商如何，成功的測試都需要做好充分的準備。安全服務提供商與組織之間明確的服務水平協議是準備工作的重要組成部分。它為雙方設定了期望并明確了他們的義務。在本文中，我們幫助您了解安全測試提供商的協議中必須包含哪些項目才能實現測試的共同目標。

要包含在您的安全測試提供商協議中的關鍵項目

請記住，此列表并不全面或詳盡無遺。我們匯總了突出良好安全測試的廣度和深度的重要元素。

測試目標

與安全測試服務提供商的每個 SLA 都必須包含目標。目標和目的為流程的其余部分定下基調，包括范圍界定、方法、結果、許可、定價等。如果在此過程之前沒有建立明確的目標和目標，組織可能無法收到一組與其風險有任何聯系或相關性的漏洞。

安全測試范圍

測試范圍告訴測試人員可以包括什么，不能包括什么。通過為滲透測試定義一個明確的范圍，組織可以確保未包含在該范圍內的系統和服務不會被測試人員觸及。鑒于所涉及的成本和工作量，并非每個組件和系統都可以包含在網站安全測試中。此外，安全滲透測試可能導致意外停機，組織必須為此做好準備。這使得測試范圍變得更加重要。

雙方的義務

該協議必須包括應用程序安全測試服務提供商和雇用其服務的組織的義務。雖然 SLA 中提到了組織的付款條件和財務義務，但包含服務提供商關于測試可能結果的最終交付聲明至關重要。

安全測試服務商資質及認證

合格、經驗豐富且稱職的安全測試提供商將報告所有漏洞，提供修復安全漏洞的建議，并對組織的系統采取更溫和的態度。CREST、OSP、CEH等認證表明了測試人員的技術能力和方法水平。

測試方法、過程和使用的工具

雙方必須討論如何進行測試，以及用于測試的方法和工具。過程、方法和工具必須事先以書面形式商定。為什么這很重要？并非所有測試工具和方法都是合法的。開源工具可能是惡意的，可能會將掃描結果發送給惡意的第三方，暴露機密信息或讓他們訪問組織的系統和網絡。這可能會對組織造成重大傷害。

保密條款

確保在與安全測試服務提供商的 SLA 中包含保密條款。組織最不希望看到的是他們的機密信息、測試結果或系統信息被滲透測試人員無意或有意地暴露。滲透測試人員可能正在使用他們希望保密的專有技術、工具或報告格式。在這種情況下，雙方可以交換一份共同的保密協議 (NDA)

權限和憑證

如果需要為安全測試人員提供該過程的憑據，則必須以安全和加密的方式進行。要提供哪些憑據以及如何包含在 SLA 中的詳細信息。鑒于在未經書面許可的情況下執行安全測試是一種刑事犯罪，因此將許可包含在合同中至關重要。例如，未經第三方書面許可，測試人員不得將第三方服務納入范圍。如果他們這樣做，他們將不得不面臨法律指控。

測試報告

應用程序安全測試服務提供商必須為組織提供一份詳細的報告，突出顯示影響應用程序的可用性、機密性和完整性的所有漏洞、缺陷和錯誤配置。這必須得到 POC 的支持，確認漏洞的存在以及如何重現這些漏洞。該報告必須包括有助于補救調查結果的建議。一份好的報告必須包括一個執行摘要部分，以非技術語言描述調查結果。這有助于最高管理層根據調查結果做出關鍵決策，以加強安全態勢。

結論

與安全測試提供商的明確定義和全面的 SLA使組織和服務提供商能夠理解并遵守他們的義務。它為高質量測試奠定了基礎，可幫助組織加強其安全態勢。