Enterprise SaaS Penetration Test
Пентест максимального объёма для финтеха, healthtech и регулируемых B2B-платформ. Веб + API + облако + интеграции. Команда из двух тестировщиков с независимым QA-ревью.
Пентест максимального объёма для SaaS уровня Series A и выше, финтеха, healthtech и регулируемых B2B-платформ. Включает весь объём уровня 3 плюс поверхность облачной инфраструктуры, пути асинхронной и фоновой обработки, безопасность вебхуков и интеграций, глубокий разбор SSO/OAuth и разработку собственных эксплойтов. Выполняется командой из двух тестировщиков (Lead + Senior + QA Reviewer) с независимым peer review. 15–22 человеко-дня, поставка за 4–5 недель. Опциональный модуль OWASP LLM Top 10 для платформ с AI. От $8 000.
Зачем это нужно
Кто требует это от вас
- 01
ISO/IEC 27001:2022 Annex A.8.29 + A.8.8 — полный набор доказательств для корпоративного аудита
- 02
SOC 2 Trust Services Criteria — CC4.1, CC6.1, CC7.1, CC7.2, A1.2
- 03
Статья 25 DORA — Threat-Led Penetration Testing (TLPT) для финансовых организаций в объёме
- 04
Статья 21 Директивы NIS2 — меры управления рисками для важных и существенных организаций
- 05
PCI DSS 4.0, требование 11.4 — для платёжных платформ
- 06
Ревью безопасности поставщика у международных корпораций с глубокой технической проверкой
Что вы получаете
Весь объём уровня 3 плюс облачная инфраструктура
- Оценка поверхности AWS / GCP / Azure
- Инвентаризация публично доступных сервисов
- Ошибки конфигурации IAM
- Права доступа к хранилищам (S3, Blob, Cloud Storage)
- Тестирование сегментации сети
- Утечки секретов в репозиториях и инфраструктуре
Безопасность асинхронной обработки, вебхуков и интеграций
- Безопасность очередей сообщений (RabbitMQ, SQS, Pub/Sub)
- Авторизация воркеров и cron-задач
- Аутентификация вебхуков и атаки повторного воспроизведения
- Безопасность интеграций со сторонними API
- Аутентификация между сервисами
Глубокий разбор SSO/OAuth и собственные эксплойты
- Ревью реализации OAuth 2.0 / OIDC
- Безопасность SAML SSO
- Интеграция с провайдером идентификации
- Проверка границ доверия
- Собственные PoC-скрипты для сложных ошибок бизнес-логики
Расширенные результаты (команда из двух тестировщиков)
- Полный отчёт о пентесте корпоративного уровня (обычно 50–100 страниц)
- Презентация находок для нескольких групп стейкхолдеров (звонок на 1 час)
- Сессия передачи аудитору (90 минут)
- Многораундовое сопровождение служб безопасности конечных заказчиков
- Квартальный брифинг на следующие 12 месяцев (включён)
- Независимое peer review от QA Reviewer
Что будет, если этого не сделать
Наш процесс
- 1Звонок по объёму (90 минут)
Подтверждаем полный объём: веб-приложение, API, облако, интеграции, SSO, тестовые учётные записи, периоды запрета тестирования.
- 2Полный комплект предпроектной документации
NDA, Statement of Work, Rules of Engagement, DPA, добавление IP всей команды тестировщиков в белый список.
- 3Выдача доступа к тестовому окружению
Облачные учётные данные, несколько тестовых аккаунтов по всем ролям и тенантам, тестовые эндпоинты для вебхуков.
- 4Активное тестирование (15–22 человеко-дня за 3–4 недели)
Команда из двух тестировщиков. Ежедневные апдейты по защищённому каналу. Критические находки эскалируются в течение 4 часов.
- 5Отчёт, презентация и передача
Корпоративный отчёт + презентация для стейкхолдеров + 90-минутная сессия передачи аудитору.
- 6Повторная проверка + квартальный брифинг
Дельта-отчёт по устранению находок + 12 месяцев квартальных брифингов включены.
Подходит ли вам этот пентест?
Выбирайте этот уровень, если…
- У вас SaaS уровня Series A и выше с облачной инфраструктурой, интеграциями и асинхронной обработкой
- Вы в финтехе, healthtech или другой регулируемой отрасли, где последствия утечки экзистенциальны
- Вам нужны доказательства threat-led penetration testing по статье 25 DORA (TLPT)
- Вам нужна команда из двух тестировщиков с независимым QA-ревью
- Вам нужна включённая сессия передачи аудитору (90 минут)
- Вы готовитесь к due diligence по безопасности перед IPO или раундом Series B
Типичные ситуации
«Мы обрабатываем платежи в 12 странах. Нам нужно глубокое тестирование облачной инфраструктуры, интеграций и API-поверхности с отчётом, прошедшим независимое peer review.»
«Мы работаем с данными особой категории. Наш партнёр из NHS требует доказательства тщательного тестирования безопасности корпоративного уровня до запуска.»
«Наши андеррайтеры и инвесторы хотят видеть комплексный отчёт о пентесте с peer review в рамках due diligence по безопасности.»
«Статья 25 DORA требует TLPT. Нам нужен компонент технического исполнения от квалифицированной компании по безопасности.»
С какими запросами приходят покупатели
Те, кто попадает на эту страницу, обычно искали: «пентест корпоративного SaaS», «аудит безопасности облака», «DORA TLPT», «аудит безопасности перед IPO», «пентест для финтеха» или «тестирование безопасности корпоративных приложений».
Наш Enterprise Pentest за $8 000–$12 000 даёт максимальный объём: веб-приложение, REST API, облачная инфраструктура (AWS/GCP/Azure), пути асинхронной обработки, безопасность вебхуков, глубокий разбор SSO/OAuth и разработка собственных эксплойтов. Выполняется командой из двух тестировщиков с независимым QA-ревью.
Когда стоит выбрать другой уровень
| Признак | Рекомендуемая услуга |
|---|---|
| Мультитенантный SaaS без облачного объёма | Standard Pentest ($4 500) |
| Тестирование безопасности AI/LLM-приложения | AI Red Team ($990) |
| Постоянное управление комплаенсом после пентеста | Compliance-as-a-Service ($729/мес) |
| Пакет доказательств для кибер-страхования | Cyber Insurance Readiness ($2 500) |
Частые вопросы об этом уровне
Да. 12 месяцев квартальных брифингов по безопасности включены без дополнительной оплаты. Они покрывают вновь обнаруженные уязвимости, относящиеся к вашему стеку, и обновления методологии.
Цена и сроки
От $8 000 за корпоративный SaaS без специализированных модулей. До $12 000 за платформы высокой сложности (несколько облачных провайдеров, обширные интеграции, несколько разных типов пользователей).
- OWASP LLM Top 10+$2 000–3 000
- Мобильное приложение+$3 500–5 500
- Ревью исходного кода+$3 500–6 000
- Воркшоп по моделированию угроз+$1 500–2 500
- Настольные учения по реагированию на инциденты+$2 500–4 000
Частые вопросы
Активное тестирование выполняют Lead и Senior специалисты, а QA Reviewer проводит независимое peer review результатов.
Объём включает технический компонент threat-led penetration testing для финансовых организаций. Конкретную программу TLPT согласуем с вашей командой и регуляторными требованиями.
Да. До старта мы согласуем NDA, Statement of Work, Rules of Engagement и DPA по вашим корпоративным шаблонам.
В объём могут входить AWS, GCP и Azure: публичные сервисы, IAM, хранилища, сегментация сети и секреты.
Да. Корпоративный отчёт, независимое peer review, презентация и сессия передачи аудитору рассчитаны на такой сценарий.
Enterprise SaaS Penetration Test
Веб + API + облако + интеграции · команда из двух тестировщиков с QA-ревью · 4–5 недель.
info@optimumcode.ru · Пн–Пт 10:00–18:00 EET