常見問題

我們決定使用 Foundstone。第一個步驟是什麼？
我們很感謝貴公司決定使用 Foundstone，並急切的想要開始使用，但是必須先完成一些重要作業，才能開始測試。首先要做的是，必須先完成所有的法定文書作業，我們才能安排時間進行測試。通常文書作業包括了服務協議 (條款及條件)、工作說明書，如果您是採買部門的話，可能也需要採購單。

與 Foundstone 聯繫的最佳方式為何？
您可採用對您最方便的方法與 Foundstone 聯絡。您可以透過電話：949-297-5600，電子郵件：consulting@foundstone.com，或造訪我們的網站，與我們的業務團隊聯絡。

是否可修訂工作範圍？如果可以，如何修訂？
是的。只要與您的客戶經理聯絡，就能夠很輕鬆的修訂範圍。一般而言，會先進行專案的範圍設定，才設定工作說明書，但也會為現有的工作說明書建立補充。

要多久才會開始？
Foundstone 會在專案開始日前的至少一個星期進行開始電話會議。如此一來，您便有足夠的時間能夠安排成功展開評估所需的後勤與技術細節。

開動電話應由誰負責？我應該向哪些人告知有這項作業？
誰必須負責開動電話，以及誰需被告知此專案相關資訊，實際上是由評估的整體目標以及我們實際進行測試的方式來決定。當我們在評估客戶的網路時，客戶常常會要求我們瞭解他們的作業團隊是否有警覺心，有些客戶會想要先確保前置生產系統是安全的，再展開部署，有些則會要求測試其生產環境。一般而言，我們建議您將這個專案儘量簡單的告知同事，並徹底詳細的說明工作。儘早達成協議可避免在接近測試日時發生未預期的異議，而導致測試工作的延誤。建議您通知以下人員：

• 主要的聯絡窗口或專案經理
• 網路作業代表
• 如果評估涉及應用程式測試，則需要應用程式開發代表
• 資訊安全代表
• 系統所有者代表
• 如果專案需要稽核的話，則需有稽核團隊人員
• 如果目標網路和/或應用程式是由第三方在託管，則需要託管組織

由誰實際進行作業？Foundstone 如何管理其專案？
所有的技術測試都是由 Foundstone 安全顧問執行。所有的員工都是全職、有合約約束，並經過詳細的背景調查。我們不使用約聘人員。

每個合約都有一個專案團隊會負責。您不需要與團隊的所有成員互動，但每個成員對於您的合約是否能成功履行上扮演著重要的角色。團隊成員通常包括：

• 負責每日進行測試工作的技術顧問。他們能夠完成艱難的工作。
• 專案經理是您的主要聯絡窗口，負責管理您的專案。每個專案都指派有一個專案經理，專案經理會負責撥打開動電話、每日進行更行，並負責交付項目。專案經理會與您一起解決任何問題。
• 區域總監負責品質保證，並核准所有的最後報告。  專案經理向區域總監報告。如果有任何問題是專案經理無法解決的，總監會將問題升級給 Foundstone 內適當的負責人。

如何將我問題或疑慮告知 Foundstone？
Foundstone 團隊會提供與此評估有關的所有團隊成員的詳細聯絡資料。在大多數的狀況下，專案經理能夠幫助您解決所有問題，但如果有任何問題需要升級，您也會收到區域總監與客戶經理的聯絡資訊。此聯絡資訊會隨同執行前檢查表一起寄給您。

我可以要求指定顧問負責此工作嗎？
如果您想要指定顧問，請儘早告知我們。如果先前沒有指定顧問，我們會按照您的要求作業。請放心，我們和您同樣的努力要讓專案成功，所以我們會安排適當的顧問來完成專案的目標。此外 Foundstone 之所以成功的關鍵就是我們採用的方法皆經過實證，讓我們所有的顧問都能提供一致的結果。

Foundstone 需要哪些資訊以展開測試？
我們通常需要您提供兩種資訊：後勤與技術資訊。

• 後勤資訊：我們會在開動會議的中完成執行前檢查表，並由我們負責維護此檢查表。檢查表包括聯絡資訊、行程規劃、升級程序，以及其他資訊。
• 技術：實際需要的技術資訊會視評估的類型而異，但通常需要目標 IP 或應用程式位址、書面原則，以及其他需求。Foundstone 專案經理在開動會議前會提供詳細的需求清單。

Foundstone 能夠處理任何我們特別在意的部分嗎？
當然可以。如果評估中有任何一方面是您特別感興趣的，請告知我們的專案經理，我們會盡力為您處理您在意的部分。這是 Foundstone 專案經理在開動會議中提出的第一個問題。

評估程序的透明度有多高？
在開動會議進行期間，專案經理會詳細說明評估程序的各種步驟。此外，每日更新作業中會包括當日執行活動的細目，以及隔日執行的計劃。專案結束時，會提供一份技術報告，其中會詳細說明執行合約期間所使用的方法以及測試註解。如果您需要詳細資訊，或您想要在合約期間全程參與，請在開動會議前或期間告知專案經理。我們很高興與您合作來達成您的要求，如有任何問題，歡迎您隨時提出。

如果我的基礎設施還沒準備好，或在測試日期時無法運作，會怎麼樣？
當我們在安排合約的時間表時，會和您一起瞭解成功完成合約的需求。其中包括上述的技術與後勤項目。如果在測試開始的當天，這些項目無法使用或系統無法運作，我們會無法繼續進行。您應查看您的條款與條件。通常這會造成需支付違約懲罰的費用，並重新提交合約進行排程，而導致工作上的延誤。您的責任就是確保在執行前檢查表中要求的項目均已備妥，否則 Foundstone 不會安排開始進行您的專案。

測試會在一天的那個時段進行？
通常我們會在您所在地區的正常上班時間進行大多數的測試。這讓我們能夠在找出任何高風險的問題時能立即與您聯絡。進行期間我們會使用一些自動掃描工具，這些工具通常是在夜間執行。我們能夠遠端存取我們任何的評估伺服器，因此我們可以視需要立即停止掃描。如有需要，我們也能夠安排我們的掃描工具只會在特定的時段執行。我們可以調整時間，但請記住過度限制時段會限制我們工具的效用，以及在評估期間提供的結果。如果您的測試需要在正常的上班時間之外進行，您應儘快在開動電話之前告知專案經理。

如果 Foundstone 取得存取權，是否會嘗試利用該存取權入侵其他系統？
如果我們取得系統的存取權，我們會停止測試，並取得快照來說明我們得到哪一層級的存取權。我們會提供給您相關的資訊，並與您一起決定您是否要展開進一步的測試，以釐清對您的組織造成的風險為何。

完成評估後多少才能看到結果？
在整個評估期間我們會每日更新初步調查結果文件，此文件會詳細說明目前為止發現的問題。這些調查結果所採用的格式，與我們報告中技術區段的格式相同，所以您看到的結果與最終報告中提出的結果幾乎完成一樣。此外，如果我們發現有任何高風險問題會讓攻擊者未經授權就能存取系統或機密資料，我們會立即提供這些發現的結果，不必等到隔日更新。在測試結束後，我們通常會在五個工作天內提供草稿報告。

最終交付項目有哪些內容？
標準的最終交付項目就是技術報告，其中包括執行摘要與專案期間收集的任何原始資料。請檢查您的工作說明書中是否有任何額外的交付項目，例如技術簡報、執行簡報，或認證說明書。此外我們也會交付自訂的報告，例如包含調查結果的檔案 (格式為以逗號分隔)。

報告中應有哪些內容？
技術報告會提供專案的細節，包括評估的範圍、發現的正向方面、發現的弱點、有助於修補弱點的方法與策略建議、在合約期間收集到的詳細注意事項，以及執行評估所依循的方法。

執行摘要會包含專案的概述，例如專案範圍的簡短說明、調查結果總覽、一系列的策略建議，以及評估區域的安全成績單，此成績單會將您的組織與業界的平均值進行比較。

如果您對報告有額外的需求，請在開動會議之前或期間讓專案經理知道。如果在我們開始評估前即提出要求，我們便能就大多數的要求進行調整。

我有機會在報告完成前先審查報告嗎？
是的。我們會以草稿格式 (使用 Microsoft Word) 提供所有的報告，並要求您在五個工作日之內提出回應。接著我們會先針對所有的要求進行修改後，再完成報告。在五個工作日結束後，如果我們沒有得到您的任何意見，我們便會確認您沒有任何的回應並將草稿完成。我們通常只會對報告進行一次一系列的變更，所以您務必將所有的反應與詳細的意見一次以書面提供給我們，讓我們能夠處理您所有有疑慮的部分。

評估期間找出的問題在獲得解決後，Foundstone 會重新測試嗎？
如果您想要重新測試，請與您的客戶經理聯絡將重新測試納入工作說明書中，以確保能有適當的資源進行重新測試。

Foundstone 採用哪一種測量方式來確認我們資訊的安全性？
所有的用戶端資訊均採用 PGP 加密，在合約期間會儲存在筆記型電腦上。顧問的筆記型電腦硬碟會額外採用全磁碟加密技術。此外與您溝通的電子郵件之中若有包含調查結果或其他機密資訊，則會予以加密。我們只會與您指定的工作人員討論發現的弱點。合約完成後，我們會使用安全的刪除公用程式清除筆記型電腦中所有的客戶資訊，並將最終報告集中歸檔。

測試期間是否會造成任何的停擺？
Foundstone 會採用大量的測量方法來確保評估不會造成任何的停擺。因 Foundstone 評估而導致停擺的機會微乎其微，但也無法完全排除停擺的可能性。請將任何需要高度可用性的資產告知專案經理，Foundstone 顧問會適度的關切這類資產。這些資產應在執行前檢查表中註明。

是否會執行任何侵入式測試？
我們不會執行任何已知會造成阻斷服務成為入侵程式主要目標或後遺症的自動工具、入侵程式或指令碼。我們的應用程式評估大多數是人工進行的，所有的自動掃描都是以非侵入式模式進行的。非侵入式掃描所帶來的最低風險是導致部分舊有的網路裝置發生問題。

Foundstone 執行測試時，我是否必須停止更新應用程式？
為了徹底執行完整的測試，必須提供給 Foundstone 一個穩定的測試環境。這可增加生產力並避免造成有任何未預期的延遲。我們不鼓勵您在測試正在進行時對應用程式做任何的變更。注意：這只特別針對我們的軟體與應用程式安全服務。

如何表示專案已結案？
一旦接受最終技術報告與執行摘要，即表示專案評估結案。Foundstone 會進行結案會議來詳細說明我們的調查結果與建議，也會處理任何尚未解決的疑慮。Foundstone 接著會要求提供一份已署名的合約活動報告 (EAR) 與意見調查表。

如果我在結案會議後仍有問題，該怎麼辦？
如果客戶有任何後續的問題，歡迎與我們聯絡。Foundstone 團隊會安排人員儘快向您回覆。

後續作業的聯絡人是誰？
所有後續作業的要求與建議請向客戶經理或專案經理聯絡。執行前檢查表中有他們的聯絡資訊。