作者tw689 (台湾689)
看板Soft_Job
标题[新闻] 检测一个App 百万元起跳
时间Mon Oct 2 09:49:12 2017
https://money.udn.com/money/story/5613/2734224
检测一个App 百万元起跳
2017-10-02 00:58经济日报 记者陈怡慈╱台北报导
金管会要求银行的既有App，须全部委外进行安全检测，未来还须每年至少检测一次。银
行资讯部门主管透露，时下行情，检测一个App，一种版本算一次价格，每次要新台币五
、六十万元。由於App通常包含Android与iOS两种版本，每检测一个App，花费至少100万
元。
随着App的资讯安全与个人资料保护议题发烧，银行营运成本跟着攀升。银行主管指出，
每家银行视业务属性与规模大小，估计一年约需增加一、二百万元至四、五百万元不等的
App资安检测费用。
他举例，有的银行从个人与法人分类，分别推出个人行动App、法人行动App，如此就要花
200万元检测；另外也有大型民营银行，除了个人行动银行App之外，信用卡、缴学费、扫
码支付等，也都有App，估计缴交的检测费用，对我国资安产业发展将有不小贡献。
银行主管说，App安全检测已是消费者意识高涨之下，非做不可的「必要之恶」。银行业
为了调控成本，未来进行数位金融创新时，会尽量把功能整合在既有的App里头，比较不
会为了某些功能而新设一个App。
这股因应强化App资安而生的App整合新趋势，对民众也有好处，不必为了处理太多App而
伤神
--
一个APP成本都不一定有100万了
检测就要100万...
而且以前也送过检测，觉得根本啥屁用吧
--
※ 发信站: 批踢踢实业坊(ptt.cc), 来自: 210.64.53.9
※ 文章网址: https://webptt.com/cn.aspx?n=bbs/Soft_Job/M.1506908955.A.2D2.html
1F：→ kvjo: 你这心得 显然对资安跟专案成本没有sense 10/02 10:12
2F：嘘 seedli: 银行App出现漏洞可不是100万就能摆平的 10/02 10:18
3F：→ laputaflutin: 100w测你金融的app，还不知道有谁愿意担这个责任勒 10/02 10:27
4F：→ hidog: 真的出包,赔偿金额有机会破千万甚至上亿元... 10/02 10:27
5F：嘘 SuperCry: 都超过百万好吗。然後很多检测是根本没能力不懂怎麽检测 10/02 10:41
6F：→ SuperCry: iOS 做心酸的 10/02 10:41
我就做过银行的app没超过百万还要送测的啊XD
不过送测试银行端自行送测我不知道价钱就是了
只会收到测试回报
7F：→ elements: 新闻想让你觉得官商勾结，但以你的专业你真的认为不值 10/02 10:57
8F：→ elements: 这个钱？ 10/02 10:57
9F：嘘 femlro: 有点Sense吧 很多检测设备都比制造设备贵6倍 10/02 11:02
10F：→ femlro: 写自动化测试的Code 要有制造知识 真的测起来比写Code还难 10/02 11:02
※ 编辑: tw689 (210.64.53.9), 10/02/2017 11:11:18
11F：→ ssccg: 不要说送测，有的还会买开价几百甚至上千万的保护工具 10/02 11:25
12F：推 pttuser: 可能是跟後台一起测吧，只测app是要测啥？测pocket injec 10/02 12:09
13F：→ pttuser: ted，flow security还说得过去，妓者无知当然只会说测app 10/02 12:09
14F：推 now99: ssl1.0先关一关吧 10/02 12:18
15F：→ now99: tls 10/02 12:18
16F：→ ChungLi5566: 内部就有白箱跟黑箱工具在扫弱点了 10/02 12:43
17F：→ ChungLi5566: 请外部来测 要clone完整的环境 给它测 10/02 12:44
18F：→ vswillie: 曾经听过某个厂商扫政府的web，只是用工具扫一扫 10/02 17:00
19F：→ vswillie: 把工具的报告改成自己公司的style，结案 10/02 17:01
20F：→ ssccg: 用工具扫没什麽问题吧，如果合约就是这样就可以的话 10/02 17:34
21F：→ ssccg: app检测现在通常就是指依工业局行动应用App基本资安规范做 10/02 17:38
22F：→ ssccg: 的吧，直接测正式版 10/02 17:39
23F：→ alog: 你只算到你自己的部分 当然会觉得不用到到百位数. 10/02 21:45
24F：→ alog: 检测这种看你是单纯扫描讨报告 还是给人家玩真的 10/02 21:46
25F：推 leicheong: [把工具的报告改成自己公司的style，结案] 这在我的 10/02 21:56
26F：→ leicheong: 前公司也一样. 我用我的经验补上一些工具没测出来的 10/02 21:58
27F：→ leicheong: 漏洞(主要是逻辑上的)时还被骂「别多事」呢... =_= 10/02 21:59
28F：→ vswillie: 扫出来弱点就请各系统的建置商改，改完後承办人问 10/02 22:08
29F：→ vswillie: 确定都改完了厚，你们怎麽验证没问题了 10/02 22:08
30F：→ vswillie: 因为我们知道他用哪套工具扫，我们改完再扫一次就ok了 10/02 22:08
31F：→ vswillie: 承办人才说，原来有工具可以扫的喔！…xd 10/02 22:09
32F：→ vswillie: 若懂得对公务员"说话的艺术"，一样100万，有的很好赚 10/02 22:12
33F：→ dm33: 检测iOS通常是透过JB的手段 看你app的暂存档 10/03 10:11
34F：→ dm33: 另一个就是看你 web request有没有加密~ 10/03 10:37
35F：嘘 mathrew: 100万测你一个 APP ，出包扛到死，这厂商已经很佛心了 10/03 16:52
36F：→ mathrew: 你以为检测问题比写APP还简单喔?? 没做过资安? 10/03 16:53
37F：→ ChungLi5566: 检测工具是当下已经公布的CVE去测 10/03 20:15
38F：推 piadora: 胡说的，单次才12万左右 10/08 13:00
39F：推 piadora: 有owasp mobile 2016规范可以依循 10/08 13:03
40F：嘘 paul7322000: App端到底需要测什麽 几乎都是丢api 不如测後端的安 10/09 13:52
41F：→ paul7322000: 全性还比较实际 10/09 13:52