Что проверять в личном кабинете и закрытых разделах сайта?
Проверим вместе, что проверять в личном кабинете и закрытых разделах сайта. Отделим общее правило от исключений и подскажем, какие подтверждения стоит сохранить.
Короткий ответ
Проверьте регистрацию, изменение профиля, историю заказов, выгрузку, удаление, уведомления и восстановление доступа. Для проверки публичного пользовательского сценария достаточно тестового аккаунта обычного пользователя; административные пароли аудитору передавать не нужно. Чтобы оценить разграничение доступа сотрудников и подрядчиков, одного пользовательского аккаунта недостаточно: нужны отдельные тестовые роли, настройки и документы либо совместная демонстрация уполномоченным сотрудником.
Отдельно оцените, остаются ли файлы доступны после выхода и удаляются ли данные фактически. Проверку доступа к чужим идентификаторам и сведениям проводите только с разрешения владельца системы, в согласованных границах и на тестовых данных. Оператор обязан принимать необходимые правовые, организационные и технические меры защиты (ст. 19 Закона №152-ФЗ), но закон не предписывает конкретный способ тестирования.
Если нужно применить ответ к Вашей ситуации или документам, Проверить сайт на соответствие 152-ФЗ: юрист проверит вводные и учтёт обстоятельства, которые короткий ответ не охватывает.
