Срок: 3 рабочих дня
Ответы на анкету по информационной безопасности
Крупный клиент, партнёр или маркетплейс прислал анкету по ИБ на 30–200 вопросов и не подписывает договор, пока она не заполнена; в команде некому ответить.
Безопасность приложений для продуктовых команд
Безопасность на ранних этапах
Аудит, ревью архитектуры и кода, тестирование на проникновение, проверки в CI/CD, подготовка к 152-ФЗ. Для команд от 3 до 30 разработчиков, у которых нет своего безопасника. Фиксированная цена, срок от одной недели, отчёт, который можно показать заказчику.
01 / Типовые задачи
Типовые задачи
Крупный клиент прислал опросник по ИБ
Восемьдесят пунктов, срок две недели, своего безопасника нет. Заполняем по фактическому состоянию и устраняем то, что мешает подписать договор.
Интеграция с партнёром упирается в его требования по безопасности
Банк, платёжный сервис или госсистема прислали список требований, сроки жёсткие, а как выполнить их в вашем продукте, непонятно. Переводим список в конкретные решения и задачи для разработчиков до начала интеграции.
Инвестор проверяет продукт перед сделкой
Технический эксперт инвестора задаёт вопросы о безопасности, и от ответов зависит сделка. Готовим заключение о состоянии безопасности и план исправлений, которые выдержат такую проверку.
Письмо от Роскомнадзора или запрос партнёра по 152-ФЗ
Вместо шаблонной политики и галочки в форме выстраиваем рабочий процесс: инвентаризация, уведомление, документы под ваш продукт.
Выход на корпоративных заказчиков
Заказчик спрашивает о процессе безопасной разработки. Внедряем проверки в CI/CD и показываем их в работе.
Подозрение на инцидент
Разбираем, что произошло, какие данные и системы были доступны и что устранить первым. Разовая работа без дежурств и SLA.
02 / Услуги и условия
Услуги и условия
У всех услуг фиксированная цена, срок и результат. Работа ведётся по схемам, документации, копиям репозиториев и стендам; к продуктивным системам не подключаемся. Исключение: тестирование на проникновение, где границы и окно работ согласуются отдельно.
Срок: 3 недели
Подготовка к 152-ФЗ
Обрабатываете данные пользователей и получили запрос партнёра, письмо регулятора или узнали об оборотных штрафах.
Срок: 2 недели
Экспресс-аудит безопасности продукта
Нужно понять фактическое состояние за две недели и получить документ для клиента, инвестора или совета директоров.
Срок: по проекту, обычно 3–5 недель
Сопровождение пентеста
Партнёр или заказчик требует тестирование на проникновение именно от организации с лицензией ФСТЭК, а сравнить предложения подрядчиков некому.
Срок: 1 неделя
Ревью архитектуры и моделирование угроз
Проектируете новый продукт, крупный модуль или интеграцию с банком, платёжной системой, госсистемой и хотите заложить безопасность до начала разработки.
Срок: 2–3 недели
Проверки безопасности в CI/CD под ключ
Тесты есть, проверок безопасности нет, а корпоративный клиент спрашивает про безопасную разработку.
Срок: по проекту, обычно 2–3 недели
Тестирование на проникновение
Нужно проверить продукт так, как это сделал бы атакующий, и получить отчёт для заказчика, партнёра или инвестора; лицензия ФСТЭК у исполнителя не требуется.
С чего начать
Экспресс-диагностика
Встреча на 60 минут (видеозвонок) по чек-листу из 20 вопросов и страница выводов на следующий день: что у вас есть, что критично, какая из услуг подходит и почему. При заказе любой услуги в течение месяца диагностика засчитывается в цену услуги.
Стоимость зависит от объёма и сложности и фиксируется в предложении после диагностики.
03 / Порядок работы
Порядок работы
Шаг 1
Заявка
Пишете через форму или в Telegram: продукт и задача. Отвечаем в течение рабочего дня.
Шаг 2
Диагностика
Час разговора и страница выводов. Если услуга не нужна, скажем об этом сразу.
Шаг 3
Предложение
Одна страница: объём, срок, цена, результат. Цена фиксированная; изменение объёма оформляется отдельным заказом.
Шаг 4
Работа
Договор, NDA, предоплата 50 %. Встречи в согласованное время, доступ к коду и стендам есть только у инженеров, названных в договоре.
Шаг 5
Результат
Отчёт, встреча-разбор, один раунд уточнений в течение двух недель. Акт в течение пяти рабочих дней, оплата остатка по акту, закрывающие документы. Результаты работ переходят заказчику.
04 / Команда и экспертиза
Команда и экспертиза
- Работаем без субподрядчиков.
- Доступ к вашему коду и инфраструктуре получают только инженеры, названные в договоре, под NDA.
- Работа на копиях репозиториев и стендах.
Заметки о безопасности в канале @orthos_threads
Процесс
Строим безопасную разработку с нуля: статический и динамический анализ, проверка зависимостей и мобильных приложений в CI/CD.
Архитектура и пентесты
Архитектурные ревью и пентесты веб-приложений и API.
Закрытые контуры
Работали в контурах без доступа в интернет.
152-ФЗ и ФСТЭК
Опыт прохождения реальных проверок.
Автоматизация
Инструменты на Python, в том числе разбор находок анализаторов с помощью LLM.
05 / Разбор кейсов
Разбор кейсов
Четыре повода, с которыми приходят чаще всего: что происходит, что делаем и что получает клиент. Обезличенные кейсы публикуем только с письменного согласия клиентов.
- Ответы на анкету по ИБ10–15 разработчиков
Заказчик прислал анкету на 96 вопросов и не подписывает договор, пока она не заполнена
SaaS для логистики
В команде нет специалиста, который понимает вопросы о сегментации сети и управлении доступом, а срок две недели.
- Что делаем
- Проходим анкету вместе с CTO и отмечаем по фактам: что есть, что частично, чего нет.
- Заполняем ответы в формате заказчика, к каждому «нет» прикладываем план и срок исправления.
- Отвечаем на уточняющие вопросы службы безопасности заказчика вместо команды.
- Результат
- Заполненная анкета, план закрытия пробелов и снятый блокер по договору.
- Подготовка к 152-ФЗ5–10 разработчиков
Пришёл запрос Роскомнадзора, а уведомление об обработке данных не подавалось
Онлайн-школа
Политика скачана из конструктора, часть данных учеников уходит в зарубежный сервис рассылок. Речь идёт об оборотных штрафах.
- Что делаем
- Описываем, какие данные собираются, где хранятся и кому передаются, определяем уровень защищённости.
- Подаём уведомление и готовим документы под продукт, а не шаблон.
- Заменяем зарубежный сервис рассылок на отечественный и закрываем трансграничную передачу.
- Результат
- Ответ регулятору в срок, поданное уведомление и документы, которые описывают ваш продукт.
- Ревью архитектуры и моделирование угроз5–10 разработчиков
Платёжный партнёр прислал список требований к безопасности перед подключением
Сервис онлайн-бронирования
Команда не понимает, что из списка относится к продукту и с чего начать, а запуск привязан к сезону.
- Что делаем
- Разбираем требования партнёра по схеме продукта: что уже выполнено, что нужно доработать.
- Составляем список задач для разработчиков с приоритетами и оценкой.
- Проверяем результат перед отправкой партнёру и отвечаем на вопросы его службы безопасности.
- Результат
- Требования закрыты, интеграция проходит проверку партнёра без второго круга.
- Экспресс-аудит20–25 разработчиков
Технический эксперт инвестора спрашивает про аутентификацию, секреты и доступ к рабочей базе
B2B-маркетплейс
Внятного ответа у команды нет, а сделка ждёт.
- Что делаем
- За две недели проверяем архитектуру, ключевые части кода, настройки облака и зависимости.
- Составляем отчёт с десятью главными рисками на языке бизнеса и планом на 30, 60 и 90 дней.
- Готовим резюме на одну страницу для инвестора и отвечаем на его вопросы.
- Результат
- Заключение о состоянии безопасности, которое выдерживает проверку технического эксперта.
06 / Частые вопросы
Частые вопросы
07 / Оставить заявку