Question 1

В чём разница между аудитом информационной безопасности и пентестом?

Accepted Answer

Аудит информационной безопасности — это комплексная проверка соответствия организации требованиям законодательства, нормативных документов и стандартов (152-ФЗ, приказы ФСТЭК, ГОСТ Р 57580, ISO 27001). Аудит включает анализ документации, организационных мер и технической инфраструктуры. Тестирование на проникновение (пентест) — это практическая проверка защищённости путём моделирования реальных кибератак на инфраструктуру, веб-приложения или сеть организации. Пентест выявляет конкретные уязвимости, которые может эксплуатировать злоумышленник. Оптимальный подход — проводить аудит и пентест совместно: аудит покажет системные пробелы, а пентест подтвердит практические риски.

Question 2

Как часто нужно проводить аудит информационной безопасности?

Accepted Answer

Рекомендуемая периодичность аудита ИБ — не реже одного раза в год, а также при существенных изменениях в инфраструктуре, смене ключевых систем или обновлении законодательства. Для финансовых организаций периодичность оценки соответствия ГОСТ Р 57580 установлена Банком России — не реже одного раза в два года (Положение № 683-П). Субъекты КИИ обязаны проводить оценку эффективности мер защиты в соответствии с Приказом ФСТЭК № 239. После крупных инцидентов или утечек данных также рекомендуется провести внеочередной аудит для выявления причин и предотвращения повторения. Наши эксперты проведут аудит и предоставят план устранения с приоритизацией по уровню риска.

Question 3

Какие виды тестирования на проникновение существуют?

Accepted Answer

Тестирование на проникновение классифицируется по уровню доступа к информации: Black Box — тестирование без предварительных знаний о системе (моделирование внешнего злоумышленника), Gray Box — с ограниченными данными (учётные записи пользователя, частичная документация), White Box — с полным доступом к исходному коду, архитектуре и документации. По направлению различают: внешний пентест (периметр сети, веб-приложения), внутренний (корпоративная сеть, Active Directory), пентест Wi-Fi, социальная инженерия (фишинг, физический доступ). Выбор типа зависит от целей заказчика, модели угроз и бюджета. Мы подберём оптимальную методологию и согласуем scope работ перед началом тестирования.

Question 4

Пентест не нарушит работу наших систем?

Accepted Answer

Безопасность ваших продуктивных систем — приоритет при проведении пентеста. Перед началом работ мы подписываем NDA и согласуем детальный scope: перечень тестируемых систем, допустимые методы воздействия, временные окна для наиболее агрессивных проверок. Деструктивные техники (DoS, удаление данных) исключаются из программы тестирования продуктивных систем. При необходимости отдельные виды тестирования проводятся на тестовом контуре или в нерабочее время. По завершении предоставляется подробный отчёт с описанием выявленных уязвимостей, доказательствами эксплуатации (proof of concept) и рекомендациями по устранению.

Question 5

Что входит в отчёт по результатам аудита ИБ?

Accepted Answer

Отчёт по результатам аудита информационной безопасности включает: резюме для руководства (Executive Summary) с ключевыми выводами и рисками, детальное описание выявленных несоответствий требованиям законодательства и нормативных документов, анализ текущего состояния технических и организационных мер защиты, оценку рисков с ранжированием по критичности, план устранения выявленных нарушений с приоритизацией и рекомендуемыми сроками. Для пентеста отчёт дополнительно содержит описание каждой уязвимости с уровнем критичности (по CVSS), proof of concept эксплуатации и конкретные технические рекомендации по устранению. Отчёт позволяет руководству принимать обоснованные решения о приоритетах в области информационной безопасности.

Аудит и пентест

Для кого эта услуга

Компании с веб-сервисами

Финансовый сектор

Крупный бизнес

Стартапы и IT-компании

Что включено

Как мы работаем

Согласование scope

Разведка

Тестирование

Эксплуатация

Отчёт

Рекомендации

Что вы получите

Отчёт о тестировании

Карта уязвимостей

Executive Summary

Ретестирование

Частые вопросы

Получите бесплатную
консультацию эксперта