Želite li pronaći poznate slabosti sustava ili provjeriti koliko daleko napadač može doći u određenom scenariju? Odgovor pomaže odabrati sigurnosno testiranje. Procjena ranjivosti i penetracijsko testiranje daju različite vrste uvida i mogu se međusobno nadopunjavati.
Što daje procjena ranjivosti?
Procjena ranjivosti traži poznate slabosti u dogovorenom opsegu sustava. Može obuhvatiti zastarjele komponente, izložene usluge i nesigurne konfiguracije. Automatizirane nalaze treba provjeriti i protumačiti u kontekstu okruženja. Rezultat treba sadržavati prioritet, pogođenu imovinu i preporuku za otklanjanje problema, a ne samo izvoz rezultata skenera.
Što daje penetracijsko testiranje?
Penetracijski test provjerava mogu li se slabosti iskoristiti za ostvarivanje dogovorenog cilja, primjerice pristupa aplikaciji ili osjetljivim podacima. Provodi se uz izričito odobrenje vlasnika sustava, pisana pravila i definirane granice. Dubina i metode ovise o opsegu, raspoloživom vremenu i dopuštenim aktivnostima.
Kako odabrati početni korak?
- Nemate ažuran pregled izloženosti: krenite od popisa imovine i procjene ranjivosti.
- Uvodi se kritična aplikacija ili veća promjena: razmotrite ciljani penetracijski test prema konkretnom scenariju.
- Postoji mnogo poznatih nezakrpanih sustava: najprije riješite prioritetne nedostatke i provjerite popravke.
- Imate regulatorni ili ugovorni zahtjev: prije narudžbe provjerite traženi opseg, metodu i način izvještavanja.
Dogovorite opseg prije početka
U opseg uključite adrese, aplikacije, račune za testiranje i dopuštene termine. Odredite izuzete sustave, kontakt za hitne situacije i postupak zaustavljanja testa. Zabilježite jesu li uključeni vanjski pružatelji usluga i čije je odobrenje potrebno. To omogućuje jasnu usporedbu ponuda i smanjuje nesporazume tijekom rada.
Kako izgleda koristan izvještaj?
Uprava treba razumjeti poslovne posljedice i prioritete. Tehnički tim treba dobiti provjerljive nalaze, objašnjenje uvjeta i korake za sanaciju. Svakom prioritetnom nalazu dodijelite nositelja i rok. Ponovnom provjerom utvrdite je li problem uklonjen i je li promjena otvorila nova pitanja.
Jednokratni test opisuje stanje u određenom trenutku. Učestalost sljedećih provjera odredite prema riziku, promjenama sustava i primjenjivim obvezama. Rezultate uključite u upravljanje IT rizicima kako bi se napredak mogao pratiti.
Saznajte više o usluzi procjene ranjivosti ili dogovorite razgovor o opsegu testiranja.
Izvor za metodološki okvir testiranja: NIST SP 800-115: Technical Guide to Information Security Testing and Assessment. Kriteriji odabira predstavljaju praktične smjernice ITSec-a. Provjereno 13. listopada 2026.