Как студии передать заказчику результаты проверки безопасности
Передайте клиенту результаты по его рабочим сценариям, а не только перечень технических находок. Для каждого обещания зафиксируйте проверенный релиз, результат, ограничения и владельца следующего шага. Это даёт заказчику основание принять конкретный пункт или вернуть его на доработку.
Что подготовить
Перед демонстрацией согласуйте систему, окружение, тестовые роли и список критичных действий. Например: клиент открывает только свои счета, менеджер видит счета команды, гость не скачивает закрытые файлы. Сверьте согласие и полномочия на проверку.
Порядок проверки
Подготовьте два представления результата
Заказчику покажите обещание языком продукта и решение по нему. Разработчику оставьте метод, маршрут, фикстуры, ожидаемое поведение и обезличенное доказательство. Свяжите их одним номером сценария; исключите токены и реальные клиентские файлы.
Договоритесь о повторной приёмке
Передайте список пропусков, блокеров и исправлений с идентификаторами сборок. Для спорной находки назначьте владельца, дату ретеста и критерий закрытия. После исправления приложите и разрешённый, и запрещённый контроль.
Пример записи в акте технической передачи
AC-04 · Приватный счёт не виден другому клиенту
Стенд / сборка: ____ Роли: клиент A и клиент Б
Результат: ____ Что не проверяли: ____
Ответственный / срок ретеста: ____Критерий результата и ограничения
Передайте заполняемый шаблон, очищенное доказательство и ссылку на повторяемый сценарий. Подтверждение относится к перечисленным проверкам и указанному релизу.
Что остаётся непроверенным
Пример отчёта Scantelio содержит вымышленные данные. Не представляйте его как результат своего клиента, сертификат или полный пентест.