Optimum Code проводит тестирование на проникновение веб-приложений, API и инфраструктуры для компаний в России. Проверяем, может ли нарушитель обойти контроль доступа, получить клиентские данные или развить атаку внутри сети. В отчёте показываем, как воспроизвести каждую подтверждённую уязвимость, и расставляем приоритеты исправления.
152-ФЗ «О персональных данных»
Оператор обязан защищать персональные данные от неправомерного доступа и других неправомерных действий. Статья 19 предусматривает оценку эффективности мер защиты до ввода информационной системы персональных данных в эксплуатацию. Для CRM, личных кабинетов и API, которые хранят или обрабатывают клиентские данные, пентест помогает проверить разграничение прав, изоляцию данных разных клиентов и безопасность выгрузок. Статья 19 закона № 152-ФЗ.
187-ФЗ и безопасность объектов КИИ
Закон № 187-ФЗ регулирует безопасность критической информационной инфраструктуры (КИИ). Субъекты КИИ категорируют свои объекты. Для значимых объектов они создают и поддерживают системы безопасности с учётом категории значимости и применимых требований. Границы проверки определяют по составу объекта и модели угроз. Для технологических систем активные проверки согласовывают с ответственными за эксплуатацию, чтобы сохранить устойчивость процессов. Закон № 187-ФЗ.
ФСТЭК России и обязательный анализ уязвимостей
Пункт 12.6 Требований, утверждённых приказом ФСТЭК России от 25.12.2017 № 239, предусматривает анализ уязвимостей кода, конфигурации и архитектуры значимого объекта КИИ до ввода в эксплуатацию. Подпункт «д» называет тестирование на проникновение одним из способов выявления уязвимостей. Условия теста должны соответствовать возможностям нарушителей, определённым в модели угроз безопасности информации. При планировании работ учитываем этот контекст и согласуем допустимые сценарии проверки. Пункт 12.6 Требований, утверждённых приказом ФСТЭК России № 239.
Ст. 272.1 УК РФ и риск утечек
Статья 272.1 УК РФ предусматривает уголовную ответственность, в частности, за незаконное использование или передачу компьютерной информации с персональными данными, полученными неправомерным путём. Пентест помогает обнаружить потенциальные каналы утечки до инцидента. Например, на тестовых данных можно подтвердить, что пользователь способен запросить чужую запись через API или выгрузить сведения без необходимых полномочий. Разъяснение прокуратуры по ст. 272.1 УК РФ.
Как проходит проверка
- Согласуем объём и правила. Фиксируем активы, роли, разрешённые сценарии и порядок остановки работ. Подписываем NDA и получаем письменное разрешение на тестирование.
- Проверяем согласованный контур. Веб-приложения и API тестируем по методикам OWASP. На стенде используем тестовые учётные записи и данные, чтобы подтверждать находки без доступа к реальным клиентским записям.
- Передаём отчёт для команды. Описываем условия эксплуатации, доказательства, влияние на бизнес, оценку по CVSS и шаги исправления. Повторную проверку планируем с учётом выбранного уровня пентеста.
Материалы по теме
Если нужно проверить веб-приложение, API или внешний периметр, посмотрите уровни и условия пентеста для компаний из России.
