Вопросы и ответы об информационной безопасности

В деловой речи термины часто используют как синонимы. В российских нормативных документах основной термин — информационная безопасность: она охватывает защиту информации любых видов и на любых носителях. Кибербезопасность чаще относят к защите от атак в киберпространстве. Для выбора подрядчика важнее перечень услуг: провайдеры описывают их в обеих формулировках. Подробнее — в блоке о разнице терминов.

Начните с задачи: проверка защищённости, соответствие требованиям, мониторинг или расследование. Затем выберите тип компании и проверьте образец отчёта, подтверждённый опыт в вашей отрасли и условия ретеста. Для работ на объектах КИИ проверьте лицензию в реестре ФСТЭК. Сопоставление задач и типов компаний — в блоке «Как выбрать компанию под задачу».

Услуги по защите КИИ оказывают интеграторы, сервис-провайдеры, аудиторы и компании по анализу защищённости; для части работ нужна лицензия ФСТЭК. В рейтинге направления по КИИ указаны в карточках не у всех участников, поэтому сверяйте карточку и реестр лицензий. Порядок выбора подрядчика разобран в руководстве по защите КИИ.

Имитация атак противника (Red Teaming) — проверка, в которой исполнитель действует как реальный злоумышленник и идёт к заранее согласованной цели. Проверяется способность защиты обнаружить атаку и остановить её. Пентест ищет уязвимости в заданном перечне систем и проверяет, можно ли ими воспользоваться. Для Red Teaming желательны SOC и процесс реагирования. Рыночный срок — 4–12 недель.

Расследованием инцидентов занимаются команды реагирования и киберразведки, а движением криптоактивов — специалисты по крипто-форензике. В карточках рейтинга направление расследований указано у F6, а крипто-форензика — у Paranoid Security. В отчёте должны быть хронология событий, граф транзакций и порядок сохранения доказательств. Подробнее — в блоке о крипто-форензике.

Пентест — проверка конкретных компонентов (сеть, веб-приложение, инфраструктура) на наличие уязвимостей. Длится 1–4 недели, результат — список уязвимостей с оценкой критичности по CVSS.

Red Teaming — симуляция действий реального злоумышленника с конкретной целью: скомпрометировать определённый актив. Рыночный диапазон — 4–12 недель, полный цикл с социальной инженерией и длительным присутствием занимает дольше. Включает социальную инженерию, фишинг, обход средств обнаружения, работу в режиме скрытого присутствия в сети (living off the land).

Ключевое отличие: пентест тестирует отдельные компоненты, Red Teaming — всю систему защиты, включая реакцию команды SOC. Без зрелого SOC на стороне заказчика Red Teaming не имеет смысла.

Зависит от типа работ. Пентест в формате «анализа защищённости» коммерческих систем без доступа к государственным информационным системам лицензии ФСТЭК не требует.

Лицензия ФСТЭК на ТЗКИ (техническую защиту конфиденциальной информации) обязательна для:

• Аттестации объектов информатизации
• Работ с государственными информационными системами (ГИС)
• Защиты объектов критической информационной инфраструктуры (187-ФЗ)

Оценка соответствия по ГОСТ Р 57580 проводится в контуре требований Банка России: требования к исполнителю такой оценки, в том числе к лицензиям, задаёт положение Банка России, которое применяется к вашей организации.

Проверить лицензиатов можно в реестре лицензий ФСТЭК.

Ориентир редакции на октябрь 2026, по рыночным предложениям: пентест одного веб-приложения — от 150 000 рублей; пентест внешнего периметра из 20–50 IP-адресов — 300 000–1 500 000 рублей; Red Teaming — от 1 500 000 рублей. Это оценка, а не прайс: цена растёт с числом систем, ролей и API, с глубиной проверки и требованиями к ретесту. «Аудит за 50 000 рублей» обычно означает автоматическое сканирование без ручной проверки. Точную цену исполнитель называет после согласования объёма работ.

Стоимость форензики и крипто-форензики зависит от объёма данных и сложности трассировки и согласуется после оценки задачи.

Крипто-форензика — криминалистический анализ блокчейн-транзакций и криптовалютных активов. Включает трассировку движения средств, идентификацию связанных кошельков, анализ взаимодействия с миксерами и DeFi-протоколами.

Применяется при:

• Хищении криптоактивов (взломы бирж, кражи с кошельков)
• Мошенничестве с использованием криптовалют
• Отмывании средств через DeFi-протоколы
• Спорах о движении средств, где нужна хронология и граф транзакций
• KYC/AML-проверках для VASP (Virtual Asset Service Provider) в рамках требований FATF

В открытых описаниях услуг значительной части крупных провайдеров отдельная линейка крипто-форензики не выделена. В рейтинге направление указано в карточках Paranoid Security (крипто-форензика) и F6 (киберрасследования). Подробнее — в блоке о крипто-форензике.

Зависит от требований регулятора и изменений в инфраструктуре:

• PCI DSS (Requirement 11.4): пентест не реже раза в год и после любых значимых изменений инфраструктуры или приложений.
• 187-ФЗ (КИИ): периодичность определяется категорией значимости объекта.
• ГОСТ Р 57580: периодичность оценки соответствия для финансовых организаций задаёт Банк России.

Общая рекомендация для компаний без жёстких регуляторных требований: ежегодный пентест внешнего периметра и веб-приложений плюс внеплановый аудит после значимых изменений (запуск нового продукта, переход в облако, M&A, смена технологического стека).

SOC (Security Operations Center) — команда и процесс непрерывного мониторинга событий безопасности в режиме 24/7. Задача SOC — обнаружить атаку как можно раньше и минимизировать время реагирования (MTTR).

SOC нужен, когда:

• Компания является объектом КИИ и обязана подключиться к ГосСОПКА
• Объём событий безопасности слишком велик для ручного разбора
• Требуется соответствие ГОСТ Р 57580 (финансовые организации)
• Компания имеет критичный цифровой актив, требующий непрерывного мониторинга

Для компаний без ресурсов на внутренний SOC существует опция MSSP (Managed Security Service Provider) — аутсорсинг функций SOC внешнему провайдеру.

Threat Intelligence (TI) — разведывательные данные об актуальных киберугрозах: индикаторы компрометации (IoC), тактики, техники и процедуры (TTPs) злоумышленников, данные о конкретных APT-группировках.

Практическое применение:

• Приоритизация патчинга: какие уязвимости активно эксплуатируются прямо сейчас
• Настройка правил обнаружения в SIEM: IoC для блокировки известных атакующих инфраструктур
• Threat Hunting: активный поиск следов компрометации в сети на основе TTPs
• Реагирование на инциденты: атрибуция атаки и понимание следующих шагов злоумышленника

Оба метода анализируют безопасность приложений, но работают по-разному:

• SAST (Static Application Security Testing) — анализирует исходный код без запуска приложения. Находит уязвимости на ранних стадиях разработки. Интегрируется в IDE и CI/CD пайплайн.
• DAST (Dynamic Application Security Testing) — тестирует работающее приложение через имитацию реальных атак. Находит уязвимости в runtime, недоступные для статического анализа (проблемы конфигурации, бизнес-логика).

Оптимальная практика — использовать оба метода в связке: SAST в CI/CD для раннего обнаружения, DAST в staging/pre-prod перед релизом.

IR Retainer (Incident Response Retainer) — предоплаченный контракт с провайдером форензики на реагирование на инциденты. Аналог страхового полиса: компания платит авансовый взнос, получая гарантию приоритетного доступа к экспертам в случае атаки.

Без ретейнера при обнаружении атаки придётся тратить часы или дни на поиск подрядчика, согласование NDA и условий контракта — пока злоумышленник продолжает присутствовать в сети.

IR Retainer особенно актуален для финансовых организаций, VASP (крипто-компаний) и любых компаний с высоким уровнем целевых угроз.

Проверка лицензии на сайте ФСТЭК России:

• Откройте реестр лицензий ФСТЭК
• Найдите компанию по названию или ИНН
• Сверьте вид лицензии, номер, пункты работ и срок действия (для работ с конфиденциальной информацией и части работ на объектах КИИ нужна лицензия на ТЗКИ)

При проверке обращайте внимание на виды работ в лицензии — они могут ограничивать то, что компания имеет право делать легально. Например, лицензия на ТЗКИ не включает право на разработку средств защиты информации.

При обнаружении инцидента:

• Не выключайте поражённые системы (это уничтожает следы в оперативной памяти) — если нет угрозы распространения атаки
• Изолируйте поражённые сегменты от остальной сети
• Зафиксируйте время обнаружения и первичные наблюдения
• Привлеките специализированную команду форензики как можно раньше
• Уведомьте юридический отдел (и регулятора, если это требует 152-ФЗ или 187-ФЗ)

Промедление при реагировании напрямую увеличивает ущерб. IR Retainer с надёжным провайдером позволяет избежать потери времени на организационные процедуры в момент кризиса.

Качественный отчёт по пентесту должен содержать:

• Исполнительное резюме для нетехнического руководства (общая оценка, приоритеты)
• Описание scope и границ тестирования
• Каждую уязвимость с: CVSS-оценкой, технической описанием, Proof of Concept (PoC), бизнес-риском, рекомендацией по устранению
• Дорожную карту устранения (с приоритизацией по критичности)
• Возможность ретеста после устранения найденных уязвимостей

Отчёт без PoC для критических уязвимостей — неполный. PoC доказывает реальную эксплуатируемость, а не теоретическую возможность.

Рейтинг составляет редакция по четырём критериям, описанным на странице методологии. Сведения сверяются с сайтами компаний, реестрами и публичными источниками, дата сверки указана в методологии. Рейтинг обновляется ежеквартально: последнее обновление — октябрь 2026, следующий пересмотр — январь 2027. Платное размещение не влияет на порядок компаний.