web-dev-qa-db-ja.com

セキュリティ監査の費用はいくらですか？

PHP CMSの場合、ホワイトボックスとブラックボックスの両方のセキュリティ監査の予算はどのように期待できますか？コードベースは約85,000 LOC（「コード行」）であり、おそらくNorthを使用します。テストのためのアメリカの会社です。監査に1万ドルから2万ドルまたは10万ドル以上かかるかどうかは本当にわかりません。正確な見積もりを求めるのではなく、一般的な推定値を求めて、何が期待できるかを理解します。ブラックボックステストとホワイトボックステストの間の見積もりも参考になります。

編集：

できるだけ多くの要因をリストアップするようにします。

  • アプリの種類：Wordpress、Joomla、Drupalに似たウェブコンテンツ管理システム。
  • テストの種類：広範な侵入テストと一般的な脆弱性のスキャン。ソースコードが公開されるため、追加の脆弱性のコードレビュー。
  • LOC：約85,000。
  • 言語：PHP、JavaScript。
  • レポートの対象者：開発者。
  • テストの場所：リモートで実行できます。
  • ユーザーの役割は可変です。それらはグループに割り当てられ、各グループには任意の数の権限を与えることができます。グループはいくつでも作成できます。

他にどんな情報が関連しているのかわかりません。本当に、私は超特定的な数を探しているのではなく、「あなたが提供した情報に基づいて、セキュリティ監査のためにおそらく$ Xから$ Xの予算を組むことが期待できます。何を期待すればいいのか本当にわからないので、基準価格だけでも非常に役に立ちます。

appsecpenetration-testbusiness-riskbudget
14
VirtuosiMedia

ここに私の大まかな推測があります：

コードレビュー：

1000 LOC = 1 hour
85000 LOC = 85 hours

時給：100 $ /時

85 hours * 100$/hr = 8500$

お使いのソフトウェアがORMと十分に文書化されたMVCフレームワークを使用している場合、コードレビューをスピードアップできます大幅に。

6
Olivier Lalonde

さて、セキュリティ監査のコストとスコープに影響を与える要素は非常に多くあります。そのため、スコープの詳細を明らかにせずに球場を提供することは非常に困難です。例えば：

  • どのタイプのセキュリティ監査が必要ですか？
  • ブラックボックスをどう思いますか。そして、なぜあなたはそれが欲しいのですか？それはコストをかなり増加させる可能性があります。
  • コードレビューを含めていますか？
  • アプリはどの言語で書かれていますか？
  • レポートの対象読者は何ですか？
  • テストの目的は何ですか？
    コンプライアンス、監査、認証、
    その他？
  • サイト、リモート、オンでテストしています
    ライブ環境またはテスト？
  • アプリケーションは何をしますか？
  • ユーザーの役割はいくつありますか？
  • 等.

taxonomy および extension を参照してください。実際、 その他のブログ投稿 の一部はここで非常に関連しています。お近くのベンダーに相談して見積もりを入手してください。

3
Rory Alsop

これは、最終的な価格を決定する多くの要因に本当に依存します。

ソースコード分析のコストは、行数またはコードの量をキロバイト単位でカウントすることでカウントできます。私が見た限りでは、より一般的なのは、コードのサイズでカウントする2番目の方法です。行ごとの価格設定はより正確かもしれませんが、そのようなアプローチは非常に不十分に書かれたコードのような予期しないことを排除しません、それは確かに評価するためにより多くの時間がかかります。その他、コードで見つかった脆弱性をさらにカウントします。

価格設定はサービスの質に依存すると言う人もいるでしょう。私はこれに同意せず、常にそうであるとは限らないと言います。新しいサービスはそれ自体を証明する必要があり、通常は低価格と中程度の品質の監査から始まります-実務経験だけでなく、個人的な管理、ユーザーサポートなども必要です。ブランドサービスはより高い価格を提供できます。しかし、ブランドサービスがうまくいかなくなったときや、初心者が有名なブランドよりも優れた監査を行える可能性もあります。そのため、サービスについての背景を理解し、推奨事項とコメントを読むことをお勧めします。

また、価格はサービスプロバイダーの国によって異なる場合があります。私たちは皆、異なって発展した経済環境を持っています。

次に、ソースコード監査の観点から。 Webアプリケーションの場合、通常、ホワイトボックスとブラックボックスのテストが組み合わされます。そのような場合、あいまいさによるセキュリティの必要は本当にありません。しかし、まあ、他の人は最初にブラックボックステストを行い、次にソースコードへのアクセスを与えることを好むかもしれません。ソースコードが提供されている場合は、ライブ環境で確実にテストされます。あなたがウェブサイトへのアクセスしか持っていない場合、顧客はサーバーへのアクセスを提供するかもしれません。

これらすべてをまとめると、固定価格を定義することは困難です。通常、顧客はすべての詳細と将来の共同作業について話し合います。プロセスは次のようになります。コードを指定すると、しばらくするとレポートが返されます。コードを再度指定すると、コードのバグがなくなるまで、これらの手順にはいくつかのループが必要になる場合があります。そのため、価格表ではなくお問い合わせフォームがよく表示されます。

1
anonymous