การเลือกบริษัท pentest ไม่ใช่แค่การเลือกเจ้าที่ราคาเหมาะสม เพราะผลลัพธ์ของงานนี้คือคำตอบว่าระบบของคุณถูกเจาะได้หรือไม่ ถ้าผู้ทดสอบไม่เก่งพอ รายงานที่บอกว่า “ไม่พบช่องโหว่ร้ายแรง” จะทำให้องค์กรมั่นใจผิด ๆ จนกว่าผู้โจมตีตัวจริงจะมาพิสูจน์ บทความนี้รวม 10 คำถามที่ควรถามผู้ให้บริการทุกเจ้าก่อนตัดสินใจ
1. ทดสอบด้วยมือ หรือแค่รันสแกนเนอร์?
เครื่องมือสแกนหาได้เฉพาะช่องโหว่ที่รู้จักและมีรูปแบบชัดเจน แต่ช่องโหว่ที่สร้างความเสียหายมากที่สุดหลายประเภท เช่น การเข้าถึงข้อมูลของผู้ใช้อื่น (IDOR) การข้ามขั้นตอนการชำระเงิน หรือการยกระดับสิทธิ์ผ่าน business logic ต้องใช้คนที่เข้าใจระบบ ถามให้ชัดว่างานส่วนไหนทำด้วยมือ และขอดูตัวอย่างรายงาน
2. ใครเป็นผู้ทดสอบจริง และมีใบรับรองอะไร?
ถามชื่อและประวัติของผู้ทดสอบที่จะทำงานกับระบบของคุณจริง ไม่ใช่แค่ผู้บริหารที่มานำเสนอ ใบรับรองแบบสอบปฏิบัติ (hands-on) เช่น OSCP, OSCE, OSWE, GXPN หรือ CRTO แสดงว่าผู้ทดสอบเคยเจาะระบบจริงภายใต้การสอบที่จับเวลา ถามด้วยว่าจะจ้างช่วง (subcontract) ให้บริษัทอื่นทำหรือไม่
3. มีหลักฐานความสามารถที่ตรวจสอบได้ไหม?
นอกจากใบรับรอง ให้ดูผลงานที่ตรวจสอบได้จากภายนอก เช่น ช่องโหว่ที่ค้นพบและได้รับเลข CVE ผลการแข่งขันด้านความปลอดภัยไซเบอร์ งานวิจัยหรือบทความทางเทคนิค และประสบการณ์กับระบบหรืออุตสาหกรรมแบบเดียวกับของคุณ
4. ใช้ methodology มาตรฐานอะไร?
ผู้ให้บริการที่ดีควรตอบได้ว่าอ้างอิงมาตรฐานไหน เช่น OWASP Web Security Testing Guide และ OWASP Top 10 สำหรับเว็บ OWASP MASVS สำหรับแอปมือถือ PTES หรือ NIST SP 800-115 สำหรับกระบวนการทดสอบ และ MITRE ATT&CK สำหรับการจำลองผู้โจมตี methodology ที่ชัดเจนช่วยให้มั่นใจว่าไม่มีส่วนสำคัญถูกข้าม ดูตัวอย่างได้จากmethodology ที่ MAYASEVEN เลือกใช้
5. รายงานมีอะไรบ้าง?
รายงานที่ดีควรมีอย่างน้อย
- บทสรุปสำหรับผู้บริหาร ที่อธิบายความเสี่ยงเป็นภาษาธุรกิจ
- คะแนนความรุนแรงตามมาตรฐาน เช่น CVSS
- proof of concept ทีละขั้นตอน ที่ทีมของคุณทำซ้ำได้
- ผลกระทบทางธุรกิจของแต่ละช่องโหว่
- คำแนะนำการแก้ไขที่ทำได้จริง และเรียงลำดับความสำคัญ
ขอดูตัวอย่างรายงานที่ปิดข้อมูลลูกค้าแล้ว ถ้าผู้ให้บริการไม่มีให้ดูเลย ถือเป็นสัญญาณที่ต้องระวัง
6. มีการทดสอบซ้ำ (Retest) ไหม?
การแก้ช่องโหว่บางครั้งแก้ไม่ครบ หรือสร้างช่องโหว่ใหม่ขึ้นมา การทดสอบซ้ำหลังแก้ไขช่วยยืนยันว่าความเสี่ยงหมดไปจริง ถามว่ารวมอยู่ในราคาหรือไม่ และต้องทำภายในกรอบเวลาเท่าไร
7. ดูแลข้อมูลของคุณอย่างไร และใช้ AI แบบไหน?
ระหว่างทดสอบ ผู้ให้บริการจะได้เห็นข้อมูลที่อ่อนไหวที่สุดขององค์กร ทั้งช่องโหว่ที่ยังไม่ได้แก้ บัญชีทดสอบ และบางครั้งซอร์สโค้ด ถามให้ชัดว่า
- บริษัทได้รับการรับรองด้านความปลอดภัยสารสนเทศ เช่น ISO/IEC 27001 หรือไม่
- เก็บข้อมูลไว้ที่ไหน นานเท่าไร และลบอย่างไรเมื่องานจบ
- ยินดีลงนาม NDA และรับผิดชอบตามสัญญาหรือไม่
- ถ้าใช้ AI ช่วยทดสอบ ใช้โมเดลอะไร รันที่ไหน และข้อมูลช่องโหว่ของคุณถูกส่งไปยังผู้ให้บริการโมเดลในต่างประเทศหรือไม่
ข้อสุดท้ายสำคัญขึ้นเรื่อย ๆ เพราะเครื่องมือ AI ด้านความปลอดภัยหลายตัวส่งข้อมูลไปประมวลผลบน cloud ของผู้ให้บริการโมเดล ซึ่งอาจขัดกับนโยบายข้อมูลหรือข้อกำหนดของหน่วยงานกำกับขององค์กรคุณ
8. ถ้าเจอช่องโหว่ร้ายแรงระหว่างทดสอบ จะแจ้งอย่างไร?
ช่องโหว่ระดับวิกฤตไม่ควรรอจนถึงวันส่งรายงานฉบับสมบูรณ์ ถามว่าผู้ให้บริการมีขั้นตอนแจ้งเหตุด่วนอย่างไร ใครเป็นผู้ติดต่อ และใช้ช่องทางที่ปลอดภัยแบบไหนในการส่งข้อมูลช่องโหว่
9. ป้องกันไม่ให้ระบบเสียหายระหว่างทดสอบอย่างไร?
การทดสอบที่ดีต้องมีกติกาการทำงาน (rules of engagement) ที่ตกลงกันเป็นลายลักษณ์อักษร ระบุขอบเขต ช่วงเวลาที่ทดสอบได้ เทคนิคที่ห้ามใช้ และผู้ติดต่อฉุกเฉินของทั้งสองฝ่าย ผู้ให้บริการควรอธิบายได้ว่าจะลดความเสี่ยงกับระบบ production อย่างไร
10. รายงานใช้กับข้อกำหนดที่คุณต้องปฏิบัติได้ไหม?
ถ้าคุณทำ pentest เพราะหน่วยงานกำกับหรือมาตรฐานกำหนด เช่น ธปท. ก.ล.ต. คปภ. PCI DSS หรือ ISO 27001 ให้ถามว่าผู้ให้บริการเคยทำรายงานสำหรับข้อกำหนดนั้นหรือไม่ และรายงานเป็นภาษาไทย ภาษาอังกฤษ หรือทั้งสองภาษา สำหรับสถาบันการเงิน ดูสรุปเกณฑ์ pentest ของ ธปท.
สัญญาณอันตรายที่ควรระวัง
- รับประกันว่าระบบจะ “ปลอดภัย 100%” หลังทดสอบ
- เสนอราคาต่อ IP หรือต่อ URL โดยไม่ถามรายละเอียดของระบบเลย
- ไม่มีตัวอย่างรายงานให้ดู หรือรายงานเป็นผลจากเครื่องมือสแกนล้วน
- บอกไม่ได้ว่าใครเป็นผู้ทดสอบ
- ไม่ถามเรื่องขอบเขต กติกา และช่วงเวลาทดสอบก่อนเริ่มงาน
MAYASEVEN ตอบ 10 คำถามนี้อย่างไร
เพื่อความโปร่งใส นี่คือคำตอบของเราเอง
- ทดสอบด้วยมือโดยผู้เชี่ยวชาญ ทีมมีใบรับรองรวมกันมากกว่า 70 ใบ เช่น OSCP, OSCE และ CRTO
- ชนะเลิศการแข่งขันด้านความปลอดภัยไซเบอร์มาแล้ว 12 ครั้งตั้งแต่ปี 2554 รวมถึงอันดับ 1 ประเภท Attack & Defense ในรายการ International Cybersecurity Championship 2023 และเคยค้นพบช่องโหว่ที่ได้รับเลข CVE เช่น CVE-2019-12562
- อ้างอิง OWASP, OWASP MASVS และ MITRE ATT&CK และให้คะแนนความรุนแรงตาม CVSS
- ทุกช่องโหว่มี proof of concept และผ่านการตรวจโดยผู้เชี่ยวชาญที่ลงชื่อในรายงาน
- งาน pentest รวมการทดสอบซ้ำไว้แล้ว
- ได้รับการรับรอง ISO/IEC 27001:2022 และใช้ Netwalker AI pentest agent ของเราเองที่รันบน GPU ของเรา ไม่ใช้ API โมเดลภายนอก
อยากเทียบเรากับผู้ให้บริการรายอื่น? ดูปัจจัยที่กำหนดราคาได้ในบทความ ราคา Pentest ขึ้นอยู่กับอะไร หรือติดต่อทีมของเราเพื่อคุยเรื่องขอบเขตงาน
