หน้าหลัก › เตรียมจัดซื้อ Pentest

เตรียม scope ก่อนจัดซื้อ Pentest

ส่งข้อมูลชุดเดียวกันให้ผู้เสนอราคา เพื่อเทียบขอบเขต วิธีทดสอบ สิ่งส่งมอบและค่าใช้จ่าย ไม่ใช่เฉพาะยอดรวม

ดาวน์โหลด Questionnaire + Checklist (.md)

แม่แบบสำหรับวางแผน ไม่ใช่ TOR สำเร็จรูปหรือคำรับรอง compliance ปรับให้ตรงกับระบบและกระบวนการอนุมัติขององค์กร

Scope Questionnaire — ข้อมูลเริ่มต้นที่ไม่เป็นความลับ

1. เป้าหมายและกำหนดเวลา

ทดสอบก่อนเปิดระบบ หลังปรับปรุง หรือประกอบการตรวจสอบ? ต้องการรายงานเมื่อใด และมีช่วง freeze/change window หรือไม่?

2. ประเภทและจำนวนระบบ

Web กี่แอป / API กี่ endpoints และเวอร์ชัน / Mobile iOS หรือ Android / Network จำนวน IP หรือ subnet โดยเริ่มจากจำนวนรวม ไม่จำเป็นต้องเปิดเผยเป้าหมายจริงในแชตแรก

3. Role และ business workflow

มี role กี่แบบ มีหลาย tenant หรือไม่? ระบุขั้นตอนสำคัญ เช่น อนุมัติรายการหรือเข้าถึงข้อมูลข้ามหน่วยงาน และความแตกต่างของสิทธิ์

4. Environment และการเข้าถึง

ใช้ environment แบบ production หรือ staging? มีข้อมูลทดสอบ API documentation และบัญชีแยกแต่ละ role หรือไม่? ต้องใช้ VPN/allowlist หรือเข้าหน้างานหรือไม่?

5. ข้อจำกัดและบุคคลที่สาม

ส่วนใดอยู่นอกขอบเขต มีระบบ shared/cloud/vendor ที่ต้องขออนุญาตเพิ่มเติมหรือไม่? ใครเป็นเจ้าของระบบและมีอำนาจอนุมัติการทดสอบ?

6. สิ่งส่งมอบและงบ

ต้องการรายงานภาษาใด ผู้ฟังคือใคร มี presentation หรือ retest กี่รอบ? แยกค่าบริการ VAT และค่าใช้จ่ายอื่นให้ชัด

ก่อนเริ่มทดสอบ: Rules of Engagement

• อนุมัติเป้าหมายและผู้มีอำนาจอนุญาตเป็นลายลักษณ์อักษร
• กำหนดวัน เวลา timezone และช่องทางแจ้งเริ่ม/หยุดงาน
• ระบุวิธีที่อนุญาตและข้อห้าม เช่น DoS, social engineering หรือการแก้ข้อมูลจริง ไม่ถือว่าอนุญาตโดยปริยาย
• กำหนด stop conditions ผู้ติดต่อฉุกเฉิน และวิธีรับมือหากระบบมีผลกระทบ
• ตกลงการใช้ข้อมูลทดสอบ การเข้ารหัสส่งรายงาน สิทธิ์เข้าถึงหลักฐาน ระยะเวลาเก็บและการทำลายข้อมูล

Vendor Checklist — คำถามที่ใช้กับทุกราย

• อธิบายวิธีทดสอบที่เหมาะกับ scope รวมทั้งขอบเขต manual testing และ automated scanning ได้หรือไม่?
• มีผู้รับผิดชอบงานและช่องทางติดต่อชัดเจนหรือไม่? หากอ้างประสบการณ์หรือใบรับรอง มีหลักฐานตรวจสอบได้โดยไม่เปิดเผยข้อมูลลูกค้าหรือไม่?
• ตัวอย่างรายงานแยกข้อค้นพบที่ยืนยันแล้วออกจากผลสแกน และแสดงข้อจำกัดหรือไม่?
• มี NDA การอนุญาตทดสอบ และเงื่อนไขจัดการข้อมูลหรือไม่?
• ระบุวันทดสอบ เวลาจัดทำรายงาน รอบนำเสนอและ retest แยกกันหรือไม่?
• เมื่อ scope เปลี่ยน มีกระบวนการอนุมัติเวลาและค่าใช้จ่ายเพิ่มหรือไม่?
• ระบุเงื่อนไขชำระเงิน ภาษี และรายการไม่รวมให้เทียบกันได้หรือไม่?

ส่งข้อมูลอย่างไรให้ปลอดภัย

เริ่มจากคำอธิบายและจำนวนรวม ไม่ส่ง credentials, API token, session cookie, ข้อมูลลูกค้า หรือรายงานช่องโหว่ที่ยังไม่ปกปิดผ่านแชตแรก หากต้องส่งเอกสารลับ ให้ตกลง NDA ผู้รับ และช่องทางที่ปลอดภัยก่อน

แนวทางตั้งงบ · Scope Questionnaire + ร่าง TOR