Hoe we testen, en hoe we je systemen veilig houden

De norm

We testen tegen de OWASP Application Security Verification Standard (ASVS): niveau 1, 2 of 3, afhankelijk van het pakket. We volgen de OWASP Web Security Testing Guide en testen AI-functies tegen de OWASP Top 10 voor LLM-toepassingen.

Elke rol op elk onderdeel

De meeste ernstige kwetsbaarheden in apps zitten in toegangsrechten: een gebruiker die de gegevens van een ander leest, of een gewone gebruiker die bij een beheerfunctie komt. Daarom proberen we elke gebruikersrol op elk onderdeel in scope, en leggen we het resultaat vast in de dekkingsmatrix.

Hoe een bevinding bewezen wordt

Een bevinding komt pas in het rapport als een mens hem heeft nagespeeld. Elke bevinding heeft het verzoek en het antwoord, een schermafbeelding waar dat helpt, de impact in gewone taal en de oplossing.

Spelregels

• We beginnen pas als de opdracht en een schriftelijke toestemming van de eigenaar van het systeem getekend zijn.
• We testen alleen de onderdelen en accounts in scope, binnen het afgesproken venster.
• Het aantal verzoeken per seconde spreken we per doel af. Standaard is vijf per seconde.
• Eerst een test- of acceptatieomgeving waar dat kan. Niets destructiefs in productie, geen overbelastingstests.
• Je krijgt een noodnummer. Eén telefoontje stopt alle tests.

Je gegevens

We gebruiken testaccounts en testdata waar dat kan. Bewijs bewaren we versleuteld in de EU en verwijderen we na de opdracht, volgens een termijn die in de opdracht staat. Broncode gebruiken we alleen bij Diepgaand en alleen met je schriftelijke toestemming. Bij elke opdracht hoort een verwerkersovereenkomst.