Findings dort, wo behoben wird. Kein PDF zum Abtippen.
Auf Einladung, für einen Auftrag: Rules of Engagement akzeptieren, den Scope lesen, Findings mit Beleg erfassen und Behebungen nachtesten — im eigenen Workspace des Kunden, innerhalb des Zeitraums und der Adressen, die er freigegeben hat.
Was das ersetzt
- Findings reisen als PDF-Anhang und kommen Wochen später als Rückfragen zurück.
- Der Scope kommt in einer Mail, die Rules of Engagement in einer anderen.
- Ein Retest beginnt mit der Frage, welche Behebungen wirklich umgesetzt sind.
Was sich ändert
- Ein Auftrag pro Einladung, begrenzt auf seinen Zeitraum und die vom Kunden freigegebenen IP-Adressen.
- Findings landen direkt im Workspace des Kunden, mit Beleg im Anhang und nichts zum Abtippen.
- Rules of Engagement einmal akzeptiert, per Hash, mit Zeitpunkt und IP-Adresse protokolliert.
Was Sie hier tun
- 1Die Rules of Engagement vor der ersten Anfrage akzeptieren.
Die akzeptierte Fassung wird per Hash festgeschrieben; ändern sich die Regeln, wartet der Zugang auf eine neue Zustimmung.
Pentester portal - 2Den Scope lesen, Ziel für Ziel.
Hosts, URLs und Testparameter liegen am Pentest selbst, nicht in einem Mail-Thread.
Scope - 3Jedes Finding mit seinem Beleg erfassen.
Schweregrad, Schritte, Nachweise und der Behebungsvorschlag werden einmal erfasst — oder Sie importieren einen Stapel aus der Vorlage.
Findings - 4Arbeitsnotizen im Auftrag selbst führen.
Notizen bleiben am Pentest statt in einer lokalen Datei, die mit dem Laptop geht.
Notes - 5Die Behebungen nachtesten, die der Kunde als erledigt markiert.
Jedes Retest-Ergebnis wird am ursprünglichen Finding erfasst, sodass der Abschluss auf Ihrer Prüfung beruht.
Retest - 6Den Bericht aus dem Erfassten erstellen.
Management-, technische oder Retest-Berichte entstehen aus den Findings; False Positives bleiben draußen. Oder Sie laden einen eigenen hoch.
Report
Wo die Rolle endet
Ein Pentest: der, zu dem Sie eingeladen wurden. Inventar, Schwachstellen und der Rest der Plattform bleiben außer Reichweite; der Zugang endet mit dem Zeitfenster.
Arbeitet mit
AUDITExterner AuditorPrüfungsqualität, nicht Logistik.Zwei Türen führen herein. Eine eingegrenzte Leserolle für ein benanntes Konto liest Compliance, Control-Bibliothek, Dokumente und Risikoregister; ein Einladungscode öffnet das Auditorenportal mit sechs Tabs, ganz ohne Plattformkonto.
APPSECAppSec-LeadEine Liste, was zu beheben ist. Bevor das Release rausgeht.Scanner, Pipelines und Pentests speisen ein Register pro Anwendung. Behebungen danach ordnen, was tatsächlich ausgenutzt wird, Releases über Gates mit Regeln steuern, die Sie festgehalten haben, und je Release eine SBOM für die CRA-Akte halten.
OPSSicherheitsmanagerNichts fällt durchs Raster.Der operative Tag gehört Ihnen: Schwachstellen-Queue, Incidents von der Triage bis zu den Lessons Learned, Access Reviews, Härtungsfreigaben und Phishing-Runden. Jedes davon trägt Owner, Datum und Nachweis.
Bereit für den Schritt
über Legacy-GRC hinaus?
14 Tage kostenlos testen. Ohne Kreditkarte. Cloud oder on-premises.