Vi finner glippen. Før den blir et problem.

• Glippen har hjulpet Datatax med å avdekke kritiske svakheter under utviklingen. Vi fikk en solid test av blant annet databaselogikk før lansering av Regnskap Next og kan anbefale alle bistand til å se om sikkerheten er optimal. Å se at Glippen fant potensielle svakheter var en vekker. Takk for samarbeid.

• Jeg vil gjerne anbefale Erik på det varmeste. Han gjorde en grundig sikkerhetstest av nettsiden min og fant flere sårbarheter noen kritiske og andre av mindre betydning. Han jobbet svært grundig, forklarte funnene på en forståelig måte og var til stor hjelp med å finne ut hva som burde prioriteres. Veldig fornøyd med arbeidet og hjelpen jeg fikk!

• Gjennomførte en sikkerhetstest av nettsiden vår og fant et sårbart punkt vi ikke var klar over. Hullet ble tettet raskt, og vi fikk en tydelig forklaring på hva som var galt og hvordan det ble løst.

Alle referanser

Alle tjenester, med hva som ikke inngårRegn ut prisen for det dere har

Fastpris er fastpris

Vi tar aldri mer betalt for flere funn. Finner vi mer enn avtalt underveis, er det inkludert. Du skal aldri betale per funn, og regningen vokser ikke mens vi jobber.

Gir ikke rapporten deg noe konkret å utbedre, betaler du ikke

Gjelder alle engangstester. Kommer rapporten uten ett eneste funn med en konkret anbefaling, sender vi ingen faktura. Retest og løpende tjenester er ikke omfattet.

Du får meg, ikke et konsulentteam

Ingen stor organisasjon, ingen roterende konsulenter. Du får Erik. Det er samme person som setter omfanget, gjør testen, skriver rapporten og svarer når du spør etterpå.

Vi hjelper deg å tette det, ikke bare å finne det

Rapporten kastes ikke over gjerdet. Hvert funn kommer med dokumentasjon utvikleren din kan følge og reprodusere, du får en gjennomgang der vi finner ut sammen hva som er berørt og hvor, og en retest som bekrefter skriftlig at det er borte. Selve rettingen gjør dere eller leverandøren deres, og vi garanterer ikke resultatet av den. Vi strekker oss for å hjelpe dere dit.

Før og etter

Vil du teste før noen kommer inn, hjelper vi med det. Har det allerede skjedd noe, hjelper vi med å se nøye på hva som gikk galt. Vi er her begge steder, ikke bare på den lette dagen.

Vi strekker oss

Ligger noe litt utenfor det avtalte, men betyr mye for deg, finner vi som regel en måte. Det er kort vei til et menneske som kan svare, og som kan si ja.

1. 01

   Bestilling

   Du fyller ut skjemaet. Du får svar innen én virkedag.

2. 02

   Scope og regler for testen

   Du får et scope-dokument til signering før noe testes.

3. 03

   Avtalt testvindu

   Vi blir enige om når testen kjøres, og hvem som skal varsles.

4. 04

   Rapport og skriftlig gjennomgang

   Rapport på avtalt dato, med skriftlig gjennomgang etterpå.

5. 05

   Retest innen 30 dager

   Når dere har rettet, tester vi på nytt. Inkludert i 30 dager.

Les hvert trinn i sin helhet

• Agentene får full testkapasitet innenfor avtalt omfang, og aldri utenfor.
• Ingenting kjøres før scope og skriftlig autorisasjon er signert.
• Vi bruker leverandører som ikke trener modeller på det som sendes gjennom API-et deres. Hva som sendes hvor, står i personvernerklæringen.

Slik oppfører vi oss underveis

• Vi gjør alt vi kan for at ingenting skal gå ned. Skjer det likevel noe, får du beskjed med en gang, ikke i rapporten fem dager senere.
• Alt vi endrer, forsøker vi å reversere. Rader vi oppretter, kontoer vi lager og spor vi ikke får fjernet selv, står dokumentert i rapporten så dere kan rydde resten.
• Hvert funn kommer med en proof of concept. Du skal kunne se nøyaktig hva som ble gjort, ikke bare få vite at noe var mulig.
• Et funn reproduseres minst to ganger før det havner i rapporten. Det som ikke lar seg reprodusere, blir ikke et funn. Det blir stående som avvist, med begrunnelse.
• Du får også vite hva som holdt. Ble et angrep stoppet, står det hvilken kontroll som tok det, og om vi kom rundt den likevel.

Se hva som skjer i hvert trinn

Veiledende pris, publisert på nett

Prisene står på tjenestesiden, så du vet omtrent hva det koster før du tar kontakt. De er veiledende fordi to oppdrag sjelden er like store. Du får prisen skriftlig før vi begynner, og da står den. Finner vi mer enn ventet underveis, koster det ikke mer.

Ingen møter, alt skriftlig

Du bestiller i et skjema og får svar på e-post. Skal noe avklares, avklarer vi det skriftlig og du får svar samme dag. Da har du også alt på papiret etterpå.

En rapport en utvikler kan bruke

Hvert funn har hvor det er, hvordan det ble funnet og hva som må endres. Ingen risikomatriser uten innhold, ingen funn som bare er en skjermdump av et verktøy.

Vi har sett det før

Funn fra bug bounty, tidligere oppdrag og offentlig kjent forskning ligger i grunnlaget vi tester mot. Det som er nytt for ett system, er sjelden nytt i verden.

Et menneske avgjør hva som er et funn

Det repeterbare kjøres av verktøy og agenter, og det er grunnen til at en test kan leveres raskt til en kjent pris. Men det er en person som setter omfanget, vurderer om et funn er reelt og skriver rapporten. Et verktøy som sier «mulig sårbarhet» har ikke funnet noe ennå.

Verktøyene er bygget for dette

Vi kjører programvare vi har bygget selv, laget for å teste og for å se sammenhenger på tvers av det som er kartlagt. Det er ikke en skanner med et nytt navn.

Grunnlaget oppdateres daglig

Nye CVE-er og publisert angrepskode hentes inn fortløpende, og regelverket testene kjøres etter oppdateres etter hvert som noe blir kjent. En test i dag leter etter det som ble kjent i går.

Vi følger med

Hendelser, varsler og nye angrepsmetoder leses etter hvert som de kommer. Det er en del av arbeidet, ikke noe som gjøres når det er tid til overs.

Vi vil heller at dere er trygge enn at noen kommer seg inn. Hva et innbrudd ville kostet dere, vet vi ikke, og vi kommer ikke til å gjette på det. Vi sier fra om det vi finner. Den neste som finner det, gjør kanskje ikke det. Regn på hva et avbrudd koster dere.

Flere ekte funn på erik.no

Systemene står ikke stille

Hver utrulling, hver nye integrasjon, hvert nye subdomene og hver ansatt som får en ny tilgang flytter på angrepsflaten. En rapport uten funn er verdt å ha, men den har en dato på seg, og den datoen blir eldre.

Det vi finner er sjelden eksotisk

Det vanligste er ikke avanserte angrep. Det er en autorisasjonssjekk som ligger i grensesnittet i stedet for i endepunktet, et domene uten DMARC-håndheving, en origin-server som svarer utenom brannmuren, eller et API uten ratebegrensning. Enkle ting å rette, når noen først har pekt på dem.

Personvernbrudd har en frist og en øvre ramme

Kommer personopplysninger på avveie, har dere varslingsplikt til Datatilsynet innen 72 timer. Personvernforordningen artikkel 83 nr. 5 gir tilsynsmyndighetene adgang til å ilegge gebyr på inntil 20 millioner euro, eller fire prosent av global årsomsetning dersom det er høyere. Det er en øvre ramme og ikke et anslag på hva et brudd vil koste dere. Det tallet finnes ikke, og vi later ikke som vi har det.

Kundene deres begynner å spørre

Stadig flere anbud og kundeavtaler krever dokumentasjon på at det er gjennomført sikkerhetstest. Da er det en fordel å ha en fersk rapport liggende, og ikke en fra i fjor.

Det er derfor årsavtalen og den løpende overvåkingen finnes. Én test i året fanger opp det som har endret seg, og overvåkingen sier fra mellom testene.

Hvorfor teste, og når dere ikke børSe årsavtale og overvåking

• Ekstern sjekk

  Se hva som er synlig utenfra

  Skriv inn et domene. Vi leser DNS, e-postoppsett, sertifikat og svarhoder, og gir deg funnene med alvorlighetsgrad. Tar noen sekunder.

  Prøv den

  Ingen e-post nødvendig

• Sikkerhetssjekk

  Svar på 14 spørsmål

  Spørsmålene vi selv ville stilt før en test. Svarene leses tilbake som funn, sortert med det som haster øverst.

  Prøv den

  Tre minutter, ingen e-post

• Sjekkliste

  22 ting dere kan sjekke selv

  Det vi skulle ønske flere gikk gjennom før de bestiller test. Med kommandoer som er klare til å limes inn.

  Prøv den

  Hele listen står på siden

• Regnestykket

  Hva et avbrudd koster dere

  Tre tall inn, og du får ut hva en dag uten drift koster og hva loven setter som øvre ramme. Hver linje viser hvor tallet kommer fra.

  Prøv den

  Ingen gjetting, ingen e-post

• Er du omfattet?

  Sjekk om regelverket gjelder dere

  Tre spørsmål om NIS2, digitalsikkerhetsloven og resten. Du får vite hva som faktisk kan treffe dere i dag, og hva som ikke gjelder ennå. Med kilder.

  Prøv den

  Ingen e-post nødvendig

• Veiledninger
• Krav og regelverk
• Sammenligninger
• Metode
• Hvorfor sjekke jevnlig
• Hvorfor teste
• Hva koster en test
• Svakheter
• Ordliste
• Hvem står bak
• Referanser
• Kontakt
• Endringslogg

• erik.noblogg og offentlige skriv om funn

Foretak

Nilsen Konsult

Org.nr

931 405 861 MVA

E-post

[email protected]

Scope og regler for testen signeres skriftlig før noe kjøres. Du vet hva som skal testes, når det skjer, og hvilken IP-adresse trafikken kommer fra.