Кибербезопасность в Москве

Цена минуты простоя определяет порядок работ

Когда на кону эквайринг или биржевые интеграции, полный останов сервиса ради теста неприемлем. Поэтому нагрузочные и потенциально разрушительные проверки согласуются отдельно и выносятся в окно, которое вы назначаете сами. Всё остальное идёт в обычном режиме с ограничением интенсивности. По каждому классу проверок мы заранее говорим, что может пойти не так, и как это откатить.

Что чаще всего вскрывается в финтех-контуре

• токены доступа к API без ограничения по времени жизни и по IP
• нарушение авторизации на уровне объекта — чужой договор по прямой ссылке
• старая версия сервиса на соседнем порту, оставшаяся после миграции
• секреты в сборочных артефактах и в публичных JS-бандлах
• отсутствие лимитов на запросы к формам восстановления доступа

Отчёт пишется так, чтобы ваш разработчик мог повторить находку без нашего участия: запрос, ответ, условия, скриншот. Приоритет расставляется по реальной достижимости и последствиям, а не по формальному баллу сканера — уязвимость в закрытом контуре и та же уязвимость на публичном шлюзе получают разный вес.

Персональные данные и отчётность

Если в системе есть персональные данные клиентов, отдельным разделом идут рекомендации по 152-ФЗ: где данные хранятся, как разграничен доступ, что попадает в логи, кто из подрядчиков имеет техническую возможность их прочитать. Мы не заменяем юриста, но показываем инженерные разрывы между тем, что заявлено в вашей политике обработки, и тем, что реально происходит в коде и инфраструктуре.