Kanıt yok. Ödeme yok.

Başarıya bağlı bir model, sonucun ortak bir tanımını gerektirir. Örneğin, üzerinde anlaşılan bir yetki sınırının belirlenen koşullar altında korunmadığına dair somut şekilde tarif edilmiş bir kanıt mümkündür. Hangi etkinin, hangi önem derecesinin ve hangi yeniden üretilebilirliğin yeterli olduğuna başlamadan önce karar verilir. Bilinen bulgular ve daha önce kabul edilmiş riskler de bu çerçevede konumlandırılır. Böylece her iki taraf, sonradan elde edilen bir kanıtın üzerinde anlaşılan hedefe mi ait olduğunu yoksa yalnızca ek bir gözlem mi oluşturduğunu bilir.

Sabit tutar, bu şekilde yazılı olarak tanımlanmış sonuca ve üzerinde anlaşılan test kapsamına ilişkindir. Gerekli kanıt bu çerçeve içinde sağlanmazsa, başarıya bağlı sızma testi ücreti tahakkuk etmez. Kapsam dışında bir bulgu otomatik olarak bir ödeme talebi doğurmaz. Ek analizler, giderme veya yeniden testler yalnızca ayrı ve açık bir anlaşmayla talep edilir. Model, her teknik anormalliğin zaten bir başarı oluşturduğuna dair belirsiz bir beklenti değil, net bir ekonomik temel oluşturmayı amaçlar.

Başlamadan önce hedef sistemler, izin verilen başlangıç noktaları, test hesapları ve zaman penceresi kayıt altına alınır. Üçüncü taraf sistemler veya platformlar üzerindeki haklar açıklığa kavuşturulmuş olmalıdır. Aynı şekilde irtibat kişileri, bildirim yolları ve testin durdurulacağı koşullar da kararlaştırılır. Bir sonuç kanıtı elde etme teşviki bu kuralları değiştirmez. Bir test, sırf tanımlanan hedefe ulaşmak için ne izinsiz olarak başka sistemlere genişletilebilir ne de onaylanmamış yöntemlerle sürdürülebilir.

Kanıtlar, değerlendirme için gerekli olan ölçüyle sınırlandırılır. Hazırlanmış bir test veri kümesinin bir etkiyi gösterebildiği durumlarda, bunun için başka müşterilerin verilerinin kullanılmasına gerek yoktur. Hassas sonuçlar, yetkili irtibat kişileriyle üzerinde anlaşılan yollar üzerinden paylaşılır. Değerlendirmeyle ilgili anlaşmazlıklar için önceden ortak bir inceleme yöntemi kararlaştırılır. Böylece sonuç kararı, bir bulgunun anlamı hakkındaki farklı görüşleri ancak en sonda uzlaştırmak zorunda kalmadan, kriterlere ve belgelere dayanarak verilebilir.

Result as a Service, açıkça sınırlandırılabilen ve kanıtlanabilen hedefler için uygundur. Bunlara SaaS, API'ler, eski (legacy) yazılımlar veya müşteri sorumluluğundaki altyapıyla ilgili tanımlanmış inceleme soruları dahil olabilir. Yapay zeka uygulamalarında değişken çıktılar ve birden fazla bileşenin dahil olması, özellikle kesin kanıt kriterleri gerektirir. Modelin projeniz için uygun olup olmadığı bu nedenle bir taahhütten önce kontrol edilir. Genel envanter çıkarma, eksiksiz denetim kapsamı ve tek bir başarıya bağlı test hedefi, birbirinden farklı hizmetlerdir.

Üzerinde anlaşılan kanıtın elde edilemediği bir test, sistemin genel olarak güvenlik açıklarından arınmış olduğu anlamına gelmez. Bu sonuç, kapsam, incelenen sürüm ve zaman penceresiyle sınırlı kalır. Başarılı bir kanıt bile öncelikle giderme çalışmaları için bir başlangıç noktasıdır. Teknik belgeler, ekibinizin nedeni ve etkiyi anlamasını ve düzeltmeyi planlamasını sağlamayı amaçlar. Ardından yapılacak bir yeniden test, somut güvenlik açığının yeni sürümde giderilip giderilmediğini hedefe yönelik olarak kontrol edebilir; kapsamı ayrıca belirlenir.