20、渗透测试项目的组织架构与项目管理

渗透测试项目的组织架构与项目管理

1. 组织架构类型

在大型组织中，渗透测试团队的组织架构取决于行业、组织的发展阶段以及高层的自上而下管理风格。常见的组织架构类型有以下三种：
- 职能型组织
- 结构特点 ：这是典型的泰勒制模型，劳动按照职能进行划分。在严格的泰勒制系统中，公司被分割成不同的组，如信息技术（IT）、运营和财务等。每个层级也会进一步细分，例如 IT 可能会分为研发、网络服务和支持等部门。
- 优点 ：每个组都有响应职能组织的资源和员工。例如，渗透测试经理有只向其汇报的员工。
- 缺点 ：
- 各职能经理独立于其他部门运作，可能导致资源浪费。例如，IT 部门的研发、网络服务和支持部门可能各自拥有自己的渗透测试团队。
- 会在公司内部造成安全漏洞。不同部门的渗透测试团队可能只关注局部，无法从更宏观的角度审视新项目，包括网络间的数据流、信任关系、网络防御、物理访问或社会工程威胁等。
- 适用情况 ：许多大公司采用这种架构，但对于专业渗透测试项目而言，这可能是最差的设计之一，因为可能无法获取保护公司业务目标所需的所有必要资源和知识。不过，在大公司中改变这种架构很困难。
- 矩阵型组织
- 结构特点 ：试图将资源进行横向分配，而不是像泰勒制那样采用垂直结构。
- 优点 ：
- 可以从不同部门获取人才用于项目，