Häufig gestellte Fragen
Antworten zur Zusammenarbeit mit Black Fox Security: NDAs, Vertragsarten, Testmethoden und Leitfäden, Frameworks und Zertifikate.
13 Fragen
Aufträge
Wie die Zusammenarbeit mit Black Fox beginnt, wie sie vertraglich geregelt wird und was Sie erhalten.
Arbeiten Sie mit Geheimhaltungsvereinbarungen?
Ja. Wir nehmen Vertraulichkeit sehr ernst und achten auf das Ansehen Ihres Unternehmens. Wir können schon vor dem ersten Termin eine Geheimhaltungsvereinbarung (NDA) unterzeichnen; schicken Sie sie uns vorab per E-Mail an contact@blackfox-security.com.
Mit welchen Vertragsarten arbeiten Sie?
Jedes Unternehmen hat seine eigenen Abläufe und Anforderungen, deshalb sind wir flexibel: Festpreisverträge (FFP, FPIF, FP-EPA), Verträge mit Kostenerstattung (CPFF, CPIF, CPAF, CPPC) und Abrechnung nach Aufwand (Time and Materials).
Wie beginnt ein Auftrag?
Mit einem Kickoff-Termin, online oder vor Ort, um Ihre Anforderungen, Rahmenbedingungen und Erwartungen zu verstehen. Danach senden wir Ihnen ein auf das Projekt zugeschnittenes Angebot. Die Arbeit beginnt, sobald Sie es freigeben.
Was erhalten wir am Ende?
Das, was wir zu Beginn vereinbart haben: in der Regel Empfehlungen, einen Management-Bericht mit Risikobewertung und einen technischen Bericht mit Proofs of Concept. Auf Wunsch präsentieren wir die Ergebnisse in einem Übergabetermin und bitten Sie um Feedback, bevor wir das Projekt abschließen.
In welchen Sprachen arbeiten Sie?
Englisch, Deutsch und Französisch.
Wie lange dauert ein Auftrag?
Das hängt vom Umfang ab und davon, wie schnell wir Zugang und Antworten bekommen. Das Angebot enthält einen Zeitplan mit Terminen statt einer Schätzung ins Blaue.
Tests
Methoden, Leitfäden und die Regeln, nach denen ein Test abläuft.
Was ist der Unterschied zwischen Black-, Grey- und White-Box-Tests?
Ein Black-Box-Test beginnt ohne Vorwissen über das Ziel, wie ein Angreifer von außen. Ein Grey-Box-Test beginnt mit dem Wissen eines Benutzers, manchmal mit erweiterten Rechten, für einen gezielteren Aufwand. Ein White-Box-Test hat Zugriff auf alles, einschließlich Quellcode, und liefert das vollständigste Bild. Wir richten uns nach Ihren Anforderungen.
Welchen Test-Frameworks und Leitfäden können Sie folgen?
Dem, den Ihr Projekt oder Ihr Auditor verlangt, unter anderem MITRE ATT&CK, den OWASP-Leitfäden (WSTG, ASVS, MASVS und MASTG), PTES, OSSTMM, ISSAF, NIST SP 800-115 und den Vorgaben zu Penetrationstests nach PCI DSS. Nennen Sie ihn uns im Scoping-Gespräch, dann folgt der Bericht seiner Struktur und seinen Begriffen. Ist nichts Bestimmtes vorgegeben, arbeiten wir mit unserer eigenen Methodik, FoxHunt.
Was ist FoxHunt?
FoxHunt ist die eigene Testmethodik von Black Fox, die wir einsetzen, wenn ein Projekt keine vorgibt. Sie verbindet das, was die öffentlichen Frameworks gut machen, mit unseren eigenen Playbooks und ist auf drei Dinge ausgelegt: das Meiste aus der Zeit eines Auftrags herauszuholen, jeden Befund mit den Schritten und Nachweisen reproduzierbar zu machen, die ihn und seine Behebung bestätigen, und jedes Ergebnis den Anforderungen der Standards und Vorschriften zuzuordnen, nach denen Sie berichten, zum Beispiel ISO/IEC 27001, SOC 2, PCI DSS, NIS2 oder DORA, sodass der Bericht auch als Nachweis für das Audit dient. Wo es Ihren Verteidigern hilft, ordnen wir Befunde zusätzlich MITRE ATT&CK zu.
Compliance und Zertifikate
Frameworks, Zertifizierung und was ein Zertifikat von Black Fox bedeutet.
Mit welchen Sicherheits-Frameworks arbeiten Sie?
Unter anderem mit ISO-Standards, NIST, COBIT und PSR, und bei Bedarf passen wir unsere Tests und Audits an DSGVO, HIPAA oder HISO an. Die Leistungsseite führt jedes Framework und jede Vorschrift mit einer eigenen Seite auf.
Kann Black Fox uns zertifizieren?
Nein. Zertifikate für Standards wie ISO/IEC 27001 stellen akkreditierte Zertifizierungsstellen aus, SOC-Berichte lizenzierte CPA-Kanzleien und PCI-DSS-Bewertungen qualifizierte Assessoren. Wir arbeiten mit langjährigen Zertifizierungspartnern zusammen und koordinieren das Audit mit ihnen oder mit einer Stelle Ihrer Wahl, sodass Sie in einem Auftrag von der Gap-Analyse bis zum offiziellen Zertifikat kommen, und helfen Ihnen, das Ergebnis zu halten.
Was ist ein Auftragszertifikat von Black Fox?
Ein Nachweis, dass ein Auftrag, etwa ein Penetrationstest oder ein Audit, mit uns abgeschlossen wurde. Jeder kann es auf der Seite Prüfen anhand seiner ID kontrollieren. Es ist keine Compliance-Zertifizierung; das offizielle Zertifikat kommt von der Zertifizierungsstelle.