Аудит ИБ vs пентест vs Red Team vs Bug Bounty

Найти слабые места в работе систем, избежать сбоев работы и утечек данных – достойная задача для аудита ИБ. Какие инструменты и подходы оправданы, в каких случаях? Когда требуется пентест, что такое red teaming и в чем их отличия?  Как работают российские Bug Bounty и насколько это привлекательно для заказчиков и этичных хакеров?

Вопросов много, постараемся дать исчерпывающие ответы в рамках нашей дискуссии.

КЛЮЧЕВЫЕ ВОПРОСЫ:

• Пентест, Red Team или Bug Bounty — давайте прежде всего разберем основные отличия этих методов.
• Какие сильные и слабые стороны у каждого вида анализа защищенности?
• Если исходить из вашего опыта… Ожидания заказчиков и результаты каждого способа тестирования систем клиентов — насколько они совпадают?
• Помимо требований регуляторов, что может быть причиной для проведения анализа защищенности ресурсов компании?
• Какие характеристики компании (ее масштаб, используемое ПО, критичность возможного ущерба) позволяют посоветовать тот или иной способ анализа?
• Как часто и какой инструмент анализа надо применять?
• Компании, которые проводят подобные услуги, по сути, продают репутацию. Как вы подтверждаете свою экспертность, учитывая, что вам нельзя разглашать информацию о клиентах?
• Не приведет ли «выключение» России из международного ИБ-сообщества к деградации
• Какие направления программ анализа защищенности будут развиваться и набирать популярность в России? Чем это обусловлено?