Punti chiave

• Un RFP strutturato sposta il potere negoziale verso il compratore. I fornitori che rispondono bene dimostrano maturità operativa; quelli che rispondono male si autoescludono.
• L'errore più comune di procurement è acquistare solo sul prezzo. Il pentest più economico è raramente il più utile — e spesso il più costoso quando misurato in riduzione del rischio reale.
• Requisiti di metodologia, deliverable e politica di re-test devono essere nel RFP, non negoziati dopo l'aggiudicazione.
• Le qualifiche del fornitore contano più del tooling. Un tester senior con esperienza rilevante trova in due giorni quello che un tester junior manca in una settimana.
• Una matrice di valutazione definita previene la razionalizzazione post-hoc. Decidi i tuoi pesi prima di leggere le proposte.

A chi si rivolge questa guida

• Funzionari procurement che gestiscono gare di penetration testing per la prima volta o aggiornano template esistenti.
• CISO e responsabili sicurezza che definiscono i requisiti tecnici per ingaggi di sicurezza offensiva.
• Responsabili compliance che guidano i requisiti di evidenza per NIS2 Articolo 21(6), DORA Pilastro 3 o ISO 27001 controllo 8.29.
• Chiunque valuti più fornitori di pentest e abbia bisogno di confrontarli su una base coerente.

Il penetration testing è uno dei pochi servizi di cybersicurezza dove il divario tra i migliori e i peggiori fornitori è enorme. Due aziende che quotano lo stesso prezzo possono fornire risultati selvaggiamente diversi — una trova un singolo problema di configurazione CVSS-medio, l'altra trova una catena di vulnerabilità che porta alla compromissione completa del dominio. La differenza è raramente il tooling; sono persone, metodologia, disciplina dello scope e qualità del reporting.

Un RFP strutturato costringe i fornitori a impegnarsi. Devono descrivere la loro metodologia per iscritto. Devono nominare le persone effettive che svolgeranno il lavoro. Devono impegnarsi su deliverable e politica di re-test. E criticamente, rispondono tutti alle stesse domande, così puoi confrontarli sulla stessa base.

Un RFP cattivo — uno che è essenzialmente una mail di una riga "serve un pentest web app, per favore quotate" — produce un cattivo procurement. I fornitori indovinano lo scope, gonfiano le quotazioni per sicurezza e il compratore finisce per pagare di più per meno. I buoni RFP non sono burocrazia; sono leva.

Lo scope è la parte più importante di qualsiasi RFP pentest. I fornitori che ricevono uno scope poco chiaro gonfieranno la quotazione o sotto-consegneranno. Fornisci tutto il dettaglio che hai e chiama esplicitamente cosa è FUORI scope — spesso è più rivelatore di cosa è dentro.

I fornitori dovrebbero descrivere la loro metodologia per iscritto. L'elenco seguente è il minimo che dovresti aspettarti. I fornitori che non possono rispondere a queste domande sono immediatamente squalificati.

Il singolo predittore più grande della qualità del pentest è l'esperienza delle persone che fanno il lavoro. Il RFP dovrebbe richiedere ai fornitori di impegnarsi su individui specifici nominati e di fornire evidenze delle loro qualifiche.

Una matrice di valutazione definita previene la razionalizzazione post-hoc. I pesi di esempio sotto sono illustrativi — adattali alle tue priorità, ma impegnati con essi PRIMA di iniziare a leggere le proposte. La disciplina conta più delle percentuali esatte.

Gli ingaggi di penetration testing sono tipicamente prezzati in uno dei tre modi. Il modello giusto dipende dal tipo di ingaggio, dalla chiarezza dello scope e dalla maturità della relazione. Aspettati che i fornitori siano flessibili — chiunque insista su un singolo modello indipendentemente dal contesto sta vendendo qualcosa.

Alcuni comportamenti dei fornitori sono squalificanti immediati indipendentemente dal prezzo. L'elenco seguente è il consenso dei team di procurement che hanno gestito decine di gare pentest. Se vedi una di queste in una risposta del fornitore, il resto della proposta non importa.

• Il fornitore si rifiuta di nominare i tester effettivi che svolgeranno il lavoro, o li descrive solo in termini di ruolo generico.
• Nessun impegno di re-test nella proposta, o il re-test è offerto solo a costo aggiuntivo.
• Il report di esempio è di scarsa qualità: findings sottili, passi di riproduzione mancanti, nessuna analisi dell'impatto sul business, consigli di remediation generici.
• La sezione metodologia è lunga un paragrafo e usa linguaggio di marketing invece di specificità tecniche.
• La quotazione è drammaticamente più bassa di altri fornitori senza spiegazione. Il pentest più economico è raramente il più utile.
• Nessuna assicurazione di responsabilità professionale o rifiuto di fornire prova di copertura.
• Nessun documento Rules of Engagement chiaro o template di lettera di permesso.
• Il fornitore respinge le referenze cliente o fornisce solo referenze non correlate al tuo settore e scala.
• Promessa di test "automatizzato" come la maggior parte dell'ingaggio. I tool sono parte del toolkit, non un sostituto dei tester esperti.
• Tempo di lead inferiore a due settimane. Gli ingaggi di qualità hanno bisogno di preparazione; i fornitori che possono iniziare immediatamente probabilmente non possono rendere giustizia allo scope.

Perché Orizon Fireline Si Distingue

Fireline è il servizio di penetration testing di Orizon. È costruito attorno ai principi in questo documento — tester nominati, metodologia strutturata, reporting pronto per l'audit e un impegno di re-test che è incluso in ogni ingaggio, non aggiunto come upsell.