Аудит безпеки
Перевіряємо ваш код, доступи, інфраструктуру й процеси зсередини, а потім показуємо, де ви вразливі, і даємо рекомендації, що виправляти першим.
Що ми робимо
- Перевірка вихідного коду на вразливості
- Сторонні бібліотеки й залежності
- Права доступу, ролі й збережені секрети
- Налаштування хмари, серверів і мережі
- Резервні копії, журнали й готовність до інцидентів
- Робота з персональними й платіжними даними
Як це влаштовано
- 01Обсягсистеми, цілі, стандарти
- 02NDA і доступлише читання, де можливо
- 03Перевіркакод, доступи, хмара, процеси
- 04Знахідкиза рівнем ризику
- 05Розбірз вашою командою
- 06Рекомендаціїщо виправляти першим
Стандарти й інструменти
- OWASP ASVS
- OWASP Top 10
- CIS Benchmarks
- ISO 27001
- SOC 2
- Semgrep
Питання
Запитайте насЧим аудит відрізняється від пентесту?
Пентест атакує продукт ззовні. Аудит зсередини дивиться, як він побудований і як працює: код, доступи, хмара й процеси. Вони знаходять різне, і багато компаній роблять обидва.
З чого почати?
Якщо перевірок безпеки ще не було, почніть з аудиту. Він першим закриває широкі прогалини. Потім пентест показує, куди ще можна дістатись.
Який доступ вам потрібен?
Доступ лише на читання до коду й хмари та коротка розмова з людьми, які ними керують. Спершу підписуємо NDA і, де можливо, не торкаємось робочих даних.
Це дасть нам сертифікат?
Ні, ми не орган сертифікації. Ми покажемо, де ви зараз щодо ISO 27001 чи SOC 2 і чого бракує, щоб ви прийшли до сертифікаційного аудитора підготовленими.
Чи виправите те, що знайдете?
Так. Ми щодня пишемо софт, тож рекомендації може взяти ваша команда, або виправлення зробимо ми окремою роботою.
Скільки це коштує?
Залежить від обсягу коду й інфраструктури. Обсяг і фіксовану ціну погоджуємо після безкоштовної розмови.