方法

在受控條件下，以證據支持的評估。

每項滲透測試及資訊科技審計均以明確的目標及書面授權為前提，並按受評估環境及所需的保證程度，選定相應的方法及評估準則。

黑盒

外部視角

測試人員在沒有內部知識或憑證的情況下開始工作，這與外部威脅者的視角非常相似。

知情的角度

提供有限的存取權限和環境，以有效檢查已驗證區域並測試實際權限邊界。

完整背景審閱

在開發過程中，可包含架構、原始碼和管理上下文，以實現深度覆蓋和保障。

參與規則

書面範圍和授權

測試前簽署保密協議

指定升級聯絡人

商定的測試窗口

帶有證據的已驗證發現

按風險排序的補救指引

定義目標、經批准的系統、限制、測試窗口、聯繫人及交戰規則。

確立經授權的攻擊面、架構、用戶角色、資產和適用的評估標準。

使用適合環境的手動和技術方法評估經批准的範圍。

安全地確認發現，消除誤報，並建立切實可行的技術和業務影響。

接收附有證據、風險評級、執行摘要和修復優先次序的調查結果。

與評估團隊審閱擬議的糾正措施並釐清實施優先次序。

驗證已議定的修復措施，並記錄每個經測試的發現是否已解決、減少或仍未解決。