Аудит безопасности интернет-магазина

чушь полнейшая

Аудит безопасности для того и делается, чтобы лучше понимать, что не так с подходом к безопасности, оценить угрозы, риски и продумать, какие меры нужно принять, чтобы эти риски уменьшить.

Поиск уязвимостей совсем не аудит безопасности.

---------- Добавлено 05.08.2015 в 20:25 ----------

Аудит интернет-магазина - от 20 до 60 центов за строку кода (саму magento и неизмененные либы из проверки исключаем естественно, тестируем только измененный/добавленный код) или 40usd в час.

Аудит сервера провести не сможем.

Обращайтесь, рекомендуем себя:)

---------- Добавлено 05.08.2015 в 21:32 ----------

Дороже. Намного дороже.

Мы гарантируем работоспособность и сохранность данных только после проведения аудита по высшей ценовой категории, при чем работоспособность и сохранность оплачивается отдельно сверху и стоить может (в зависимости от требуемых гарантий) очень негуманно.

На кой это ТСу в виде отчёта?

ТСу нужен работоспособный сайт. Все остальное должен обеспечивать специалист.

муркетолог-аудитор?

Путаешь мух с котлетами. Аудит - не средство защиты (подушка), а процесс.. результатом которого есть "бумажка" с рекомендациями.

Дешевле. Намного дешевле. Ибо аудирование будет проведено минимум 2 раза.

Вот тут абсолютно согласен - какие-то гарантии можно давать после проведения аудитов и принятых мер. Иными словами это то, о чём я и говорю - аудит, сам по себе, без принятия мер - бесполезные расходы. И именно тот, кто будет обеспечивать и гарантировать безопасность (вернее работоспособность) и должен его проводить.

А вот рекламиться тут не нужно.

что https уже не защищает?

Что и от кого?

А вообще-то я совет "поставить https" имел ввиду.

Это ответ? Или вы просто не знаете для чего https нужен?

ТСу нужен этот отчет, чтобы пинать этих ни разу не специалистов в безопасности по внедрению нужных мер, уменьшающих риски для его бизнеса.

Например, не забываете удалять учетки старых сотрудников со всех серверов? Бэкапы нормально делаются, доступ не как попало, сам сервер хоть себя не бэкапит? А общий журнал событий безопасности настроен, алерты получаете? Как вы узнаете, что политики безопасности вообще работают?

И самое главное, как вы оцените, чем из этого нужно заниматься в первую очередь, а чем позже? Риски нужно как-то оценить. Для чего аудит и делается.

Аудит это часть комплекса безопасности, так же как подушка.

Дороже. Намного дороже.

Просто у Вас понимание о "гарантия безопасности" видимо в стиле "за базар отвечаю" и если что "ну не шмогла я, не шмогла", впрочем, в рунете мы другого почти встречали:)

В цивилизованном же мире под "гарантиями безопасности" обычно имеется ввиду "если бяка приключилась, то гарант выплачивает определенную сумму владельцу". И скажем гарантия от утечки базы данных клиентов ценой пусть даже в 50 тысяч баксов для серьезного ИП пусть даже всего на месяц сроком - обойдется очень дорого. Такое больше принято на западе, там понимают смысл этого.

Аудит никогда не бесполезен.

Заехать на автосервис и проверить работают ли подушки безопасности - никогда не повредит, это акт не нулевой полезности даже если Вы не собираетесь их чинить, информация о наличии (или отсутствии проблем) ценна в любом случае.

Кроме того, аудит как раз лучше, что бы проводил независимый разработчик, независимая компания. По целому ряду причин. Помогает и от злого умысла и от банальной замыленности.

Не зря даже в такой древнейшей профессии как бухгалтер - для проверки проблем используется сторонний аудит, хотя казалось бы именно бухгалтер обеспечивает и гарантирует что "все ок". Люди обращающиеся с деньгами давно уже сделали выводы.

Зависит от того, что за расширения в движке установлены, насколько движок переделан и проч.

Это надо обговаривать конкретно в личке.

Просто замечу:

Можно, конечно, просто обновлять, бэкапить и ниочем не думать.

Но если что-то криво настроено - это может не помочь.

Иногда бывают простые, но "смертельные" ошибки, например - есть директория, в которой есть скрипт с опасным потенциально опасным (предназначенным только для администратора) функционалом, например - с функцией редактирования/заливки файлов, но доступ к этой директории со скриптом по ошибке программиста открыт всем.

Простые обновления тут не помогут.

Смысл аудита - чтобы не допустить взлома сайта, а чтобы не допустить -надо знать о проблемах, в этом смысл, а не в самом отчете.

Согласен. Отлично сказано.

---------- Добавлено 06.08.2015 в 14:34 ----------

Нет смысла обсуждать, нужен ли аудит.

Каждый это решает для себя сам.

Мотив простой.

Нужен человек или огранизация, которые время от времени будут выполнять такую работу (проверять интернет-магазин на безопасность).

Здесь правильно заметили про "замыленный глаз".

Поэтому хотелось выбрать надежного партнера с хорошими знаниями в этой области.