Retest po naprawach — weryfikacja poprawek

Dla kogo jest retest

Dla organizacji, które mają już za sobą test i wdrożyły poprawki — albo wdrożyły ich część. Retest odpowiada na pytanie, czy zgłoszone ustalenia zostały rzeczywiście zamknięte, a nie tylko oznaczone w arkuszu jako zamknięte.

Ma sens także w firmach, w których między testem a naprawami zmienił się zespół lub wykonawca: dokumentacja naprawcza zwykle opisuje intencje, a nie skutek. Retest sprawdza skutek.

Co dokładnie sprawdzam

• każde zgłoszenie z raportu, w tej samej kolejności i z tym samym miejscem startu, żeby porównanie było uczciwe,
• czy poprawka zamyka podatność, czy tylko utrudnia jej wykonanie — zmiana, która podnosi próg wejścia, nie zawsze usuwa ryzyko,
• czy w wyniku naprawy nie powstała nowa podatność albo luka w innym miejscu,
• czy zabezpieczenie działa również w scenariuszu innym niż opisany w raporcie,
• ustalenia oznaczone jako „do akceptacji ryzyka” — sprawdzenie, czy decyzja o akceptacji nadal ma uzasadnienie.

Jak wygląda praca krok po kroku

1. Ustalenie zakresu: lista zgłoszeń objętych retestem, środowisko, konta i okna czasowe.
2. Ponowne sprawdzenie każdego punktu z raportu podstawowego — ta sama technika, to samo miejsce startu.
3. Sprawdzenie skutków ubocznych: czy naprawa nie otworzyła nowej ścieżki.
4. Krótki raport: dla każdego zgłoszenia status — zamknięte, częściowo zamknięte, otwarte — z dowodem.
5. Omówienie tego, co zostało otwarte, i propozycja kolejności dalszych prac.

Czego retest nie obejmuje

Nie jest ponownym pełnym testem i nie zastępuje go: sprawdzam wyłącznie punkty z poprzedniego raportu, tymi samymi metodami. Środowisko mogło się w międzyczasie zmienić — nowe usługi, nowe aplikacje, nowe konta — i tego retest nie wyłapie. Nie oceniam też, czy naprawa została wykonana dobrze technicznie; interesuje mnie efekt, czyli to, czy podatność nadal działa.

Jeśli od poprzedniego testu minęło więcej niż rok albo zmieniło się otoczenie systemów, właściwszy będzie nowy pełny test. Mówię o tym wprost przed przyjęciem zlecenia, zamiast wykonywać retest, który nic nie wykaże.

Co Państwo dostają po zakończeniu

Krótki dokument, zwykle kilka stron: tabela zgłoszeń ze statusem, dowodem i krótkim wyjaśnieniem. „Zamknięte” oznacza, że podatność nie działa — a nie że wprowadzono zmianę. Do każdego punktu dopisuję, jak sprawdziłem, żeby Państwa zespół mógł to powtórzyć samodzielnie w przyszłości.

Czego szukamy najczęściej

Najczęstszy wzorzec to poprawki, które podnoszą próg wejścia, ale nie zamykają podatności: wyłączona jedna funkcja przy nadal dostępnej innej ścieżce, zmienione hasło konta serwisowego bez odebrania uprawnień, reguła zapory obejmująca jeden adres, a nie cały zakres. Drugi wzorzec: naprawa zamknęła zgłoszony problem, ale otworzyła nowy — na przykład przez szersze uprawnienia nadane w pośpiechu. Dlatego retest sprawdza nie tylko to, co było w raporcie, ale i skutki zmian.

Ile trwa i ile kosztuje

Retest wyceniam jako 3 godziny bazowe plus 0,5 godziny za każdą podatność, minimum 4 godziny. Stawka 250 zł netto za godzinę, widełki ±20%. Jest tańszy niż pełny test, bo znam już środowisko i wracam wyłącznie do zgłoszonych punktów — model wyliczenia jest w sekcji wyceny.

Pytania o ten wariant

Czy retest jest obowiązkowy po testach?+

Nie ma takiego obowiązku prawnego, ale bez retestu nie da się wykazać, że podatności zostały zamknięte. Jeśli raport ma służyć jako materiał dowodowy — w audycie zgodności albo w kontroli — zamknięcie ustaleń powinno być potwierdzone, a nie zadeklarowane.

Czy musimy wdrażać wszystkie poprawki przed retestem?+

Nie. Retest można przeprowadzić na tym, co zostało wdrożone, a punkty niewdrożone zostaną opisane jako otwarte. Taki wynik też jest wartościowy: pokazuje, co realnie zostało zrobione, a co nadal czeka.

Ile czasu powinno minąć między testem a retestem?+

Tyle, ile potrzeba na wdrożenie poprawek — zwykle od kilku tygodni do kilku miesięcy. Istotniejsze jest to, żeby retest objął stan po zmianach, a nie prace w toku. Jeśli od poprzedniego testu minął ponad rok, proponuję nowy pełny test zamiast retestu.

Czy retest obejmuje podatności znalezione we własnym zakresie?+

Może objąć — wystarczy przekazać listę. Sprawdzam wtedy te punkty razem z tymi z mojego raportu, a w dokumencie wyraźnie rozdzielam jedno od drugiego, żeby było jasne, co pochodzi z jakiego źródła.

Ten wariant to część szerszej oferty. Pozostałe warianty opisuję osobno: test sieci wewnętrznej, test Active Directory, test aplikacji webowych i API oraz dzień zero. Stawka, model wyliczenia i orientacyjne kwoty są w sekcji wyceny.