Экспертиза цифровых ресурсов и услуг на соответствие информационной безопасности

Проверяем цифровой ресурс по четырём контурам: код, технологии, заявленные характеристики, ИБ. Выдаём отчёт, публикуем карточку на strategyra.ru и предоставляем виджет подтверждения для размещения на проверенном ресурсе.

Что такое экспертиза цифровых ресурсов

Экспертиза цифровых ресурсов — это независимая оценка того, насколько цифровой ресурс (сайт, веб-приложение, цифровой сервис) соответствует заявленным характеристикам и требованиям информационной безопасности.

Не пентест. Не аудит инфраструктуры. Не SEO-аудит. Это перекрёстная проверка четырёх контуров, где каждый контур влияет на остальные.

  graph LR
    A[Цифровой ресурс] --> B[Код]
    A --> C[Технологии]
    A --> D[Заявленные характеристики]
    A --> E[Информационная безопасность]
    
    B --> F[Отчёт]
    C --> F
    D --> F
    E --> F
    
    F --> G[Карточка на strategyra.ru]
    G --> H[Виджет подтверждения]
    H --> I[Размещение на проверенном ресурсе]
    
    classDef main fill:#fff3e0,stroke:#e65100,stroke-width:2px
    classDef support fill:#e8f5e8,stroke:#1b5e20
    class A,I main
    class B,C,D,E,F,G,H support

Ключевая идея: нельзя оценивать безопасность ресурса, не проверив код. Нельзя проверять код, не понимая технологии. Нельзя верить заявленным характеристикам, не сверив их с реализацией. Все четыре контура связаны, и разрыв в одном обнажает слабость в остальных.

И главное: результат экспертизы — не только отчёт «в стол», а публичное подтверждение, которое работает на ваш бизнес.

Из чего состоит услуга

Контур 1. Чистота кода

Что проверяем:

1. Соответствие стандартам — PSR, W3C, ГОСТ Р ИСО/МЭК 25010.
2. Отсутствие «мусорного» кода, дублей, небезопасных паттернов.
3. Корректность обработки ошибок и входных данных.
4. Наличие и качество документации, комментариев.
5. Отсутствие закомментированного кода с чувствительными данными (токены, пароли, ключи API).

Как проверяем: статический анализ (SAST), анализ зависимостей (SCA), ручной аудит ключевых модулей.

Контур 2. Используемые технологии

Что проверяем:

1. Актуальность версий CMS, фреймворков, библиотек, плагинов.
2. Наличие известных уязвимостей (CVE) в используемых компонентах.
3. Лицензионная чистота — GPL, MIT, проприетарные.
4. Соответствие технологического стека требованиям регуляторов (ФСТЭК, КИИ, импортозамещение ПО).
5. Зависимость от сторонних CDN и внешних сервисов.

Как проверяем: сканирование версий, сопоставление с базами CVE, анализ лицензий, проверка на соответствие реестрам отечественного ПО.

Контур 3. Соответствие заявленных характеристик фактическим

Что проверяем:

1. Сверка маркетинговых обещаний с реальной реализацией: «шифрование», «соответствие 152-ФЗ», «безопасность корпоративного уровня».
2. Наличие и корректность политик конфиденциальности, согласий на обработку ПДн.
3. Оценка заявленных SLA и фактической доступности.
4. Выявление «фиктивных» сертификатов и деклараций.

Как проверяем: анализ публичных материалов, сопоставление с фактической реализацией, проверка реестров сертификатов.

Контур 4. Информационная безопасность

Что проверяем:

1. OWASP Top 10 — SQLi, XSS, CSRF, SSRF, broken access control и другие.
2. Конфигурация TLS/SSL, заголовки безопасности (HSTS, CSP, X-Frame-Options).
3. Управление сессиями и аутентификацией.
4. Защита персональных данных — 152-ФЗ, GDPR-совместимость.
5. Соответствие требованиям ФСТЭК, Приказов №17, №239, ФЗ-187 (КИИ).
6. Анализ открытых источников (OSINT) по цифровому ресурсу.

Как проверяем: динамическое тестирование (DAST), ручной аудит конфигураций и архитектуры, анализ документации, интервью с ответственными сотрудниками.

Как мы это делаем

  graph LR
    A[Заявка] --> B[Согласование периметра]
    B --> C[Сбор информации]
    C --> D[Анализ 4 контуров]
    D --> E[Реестр несоответствий]
    E --> F[Отчёт и матрица]
    F --> G[Публикация карточки]
    G --> H[Выдача виджета]
    H --> I[Размещение на ресурсе]
    
    classDef main fill:#fff3e0,stroke:#e65100,stroke-width:2px
    classDef support fill:#e8f5e8,stroke:#1b5e20
    class A,I main
    class B,C,D,E,F,G,H support

Этапы:

1. Заявка и согласование периметра. Определяем границы: какие домены, поддомены, приложения, API входят в экспертизу. Подписываем соглашение о неразглашении и разрешение на тестирование.
2. Сбор информации. Публичные источники (OSINT), документация, маркетинговые материалы, техническая документация от заказчика.
3. Анализ четырёх контуров. Параллельно: код, технологии, заявленные характеристики, ИБ.
4. Формирование реестра несоответствий. Каждое несоответствие — с приоритетом (Critical / High / Medium / Low), доказательством и рекомендацией.
5. Отчёт и матрица соответствия. Матрица «заявлено → фактически» по каждому пункту.
6. Публикация карточки. На сайте strategyra.ru в разделе «Экспертиза» появляется карточка вашей организации с описанием проверенной услуги или страницы.
7. Выдача виджета. Вы получаете HTML-код для размещения на проверенном ресурсе.
8. Размещение на ресурсе. Вы вставляете виджет — посетители видят подтверждение и могут перейти на страницу проверки.

Что вы получаете

Услуга даёт три результата — по одному для каждой стороны проверки.

Результат 1. Отчёт об экспертизе

Полный конфиденциальный документ:

• Оценка по каждому из четырёх контуров (код, технологии, заявленные характеристики, ИБ).
• Реестр выявленных несоответствий с приоритизацией (Critical / High / Medium / Low).
• Матрица соответствия заявленных характеристик фактическим.
• Рекомендации по устранению с оценкой трудоёмкости.
• Заключение о соответствии требованиям регуляторов.

Результат 2. Карточка на сайте Стратегии Ра

После успешного прохождения экспертизы мы размещаем на своём сайте карточку вашей организации в разделе «Экспертиза»:

• Название и логотип организации.
• Описание проверенной услуги или страницы сайта.
• Результат проверки: что проверялось, когда, кем, с каким результатом.
• Уникальный ID проверки — для однозначной идентификации.

Карточка доступна по постоянному URL и может быть использована как публичное подтверждение качества вашего цифрового ресурса.

Результат 3. Виджет подтверждения

Вы получаете HTML-код виджета, который вставляется на проверенную страницу вашего сайта:

<a href="https://strategyra.ru/expertise/your-org/your-service/"
   class="ra-verified-widget" target="_blank" rel="noopener">
  <img src="https://strategyra.ru/images/verified-badge.svg"
       alt="Проверено Стратегия Ра" width="180" height="60">
</a>

Виджет:

• Отображает бейдж «Проверено Стратегия Ра».
• Ссылается на страницу подтверждения на нашем сайте.
• Работает как обратная ссылка — посетитель вашего сайта может в один клик проверить подлинность подтверждения.

Как это работает для посетителя:

  graph LR
    A[Посетитель на вашем сайте] --> B[Видит бейдж]
    B --> C[Кликает]
    C --> D[Страница подтверждения на strategyra.ru]
    D --> E[Видит: что проверено, когда, кем, результат]
    
    classDef main fill:#fff3e0,stroke:#e65100,stroke-width:2px
    classDef support fill:#e8f5e8,stroke:#1b5e20
    class A,E main
    class B,C,D support

Сравнение с другими услугами

FAQ

Как начать

  graph LR
    A[Заявка] --> B[Бесплатная консультация]
    B --> C[Согласование периметра]
    C --> D[Подписание NDA и договора]
    D --> E[Экспертиза]
    E --> F[Отчёт и презентация]
    F --> G[Публикация карточки]
    G --> H[Выдача виджета]
    
    classDef main fill:#fff3e0,stroke:#e65100,stroke-width:2px
    classDef support fill:#e8f5e8,stroke:#1b5e20
    class A,H main
    class B,C,D,E,F,G support

1. Оставьте заявку через форму ниже.
2. Бесплатная консультация — 30 минут, разбор вашей ситуации.
3. Согласование периметра — что входит в экспертизу.
4. Подписание NDA и договора.
5. Экспертиза — от 5 до 20 рабочих дней.
6. Отчёт и презентация — разбор результатов с командой.
7. Публикация карточки — на strategyra.ru в разделе «Экспертиза».
8. Выдача виджета — HTML-код для размещения на вашем ресурсе.

Заказать услугу