Кибербезопасность в Санкт-Петербурге

Интеграции как основная поверхность атаки

Чем больше внешних систем подключено — эквайринг, СДЭК, бухгалтерия, аналитика, вебхуки партнёров, — тем выше шанс, что где-то принимается входящий запрос без проверки подписи или источника. Мы отдельно разбираем каждый обработчик обратных вызовов: можно ли его вызвать напрямую, что произойдёт при подмене суммы или статуса, логируется ли попытка. Это скучная часть работы, но она регулярно даёт находки высокого приоритета.

Как устроен отчёт

• карта найденных точек входа с указанием, что именно доступно снаружи
• каждая находка — с запросом, ответом и условиями воспроизведения
• оценка по достижимости и последствиям, а не по баллу сканера
• рекомендация по исправлению с вариантами разной трудоёмкости
• отдельный список того, что проверено и оказалось в порядке

Последний пункт важен не меньше остальных: заказчику нужно понимать не только где дыры, но и какая часть периметра действительно посмотрена. Без этого отчёт превращается в список претензий без границ, и через полгода никто не помнит, покрывался ли конкретный сервис проверкой вообще.

152-ФЗ и работа с обращениями пользователей

Для сервисов с личными кабинетами разбираем, какие персональные данные реально собираются, где они оседают помимо основной базы — в логах, в очередях, в системе поддержки, в выгрузках аналитики. Отдельно смотрим процедуры удаления данных по запросу пользователя: часто удаление из основной таблицы есть, а копии в резервных выгрузках и в CRM живут дальше. Даём рекомендации по приведению фактического поведения в соответствие с заявленным.