Анализ уязвимостей в прикладном ПО по требованиям ОУД

Кредитные финансовые организации (без учета уровня) обязаны для ряда программного обеспечения проводить анализ уязвимостей по требованию к оценочному уровню доверия не ниже, чем ОУД 4 либо провести сертификацию данного программного обеспечения.

Актуально для:

• кредитных организаций;
• некредитных финансовых организаций;
• операторов по переводу денежных средств;
• операторов услуг платежной инфраструктуры
• разработчиков прикладного программного обеспечения.

Анализ уязвимостей ОУД — это проверка ваших приложений, веб-сайтов, мобильных программ или API на наличие уязвимостей, которые могут быть использованы злоумышленниками. При этом оценка проводится по требованиям Обеспечения Устойчивого Действия (ОУД) — нормативу, который устанавливает обязательства по защите безопасности программных средств и систем.

Если ваше ПО обрабатывает персональные данные, участвует в критичных задачах или входит в состав ИСПДн, то анализ уязвимостей ОУД позволяет убедиться, что код, интерфейсы, конфигурации не содержат слабостей, которые могут привести к утечке, несанкционированному доступу или нарушению закона.

Зачем нужен анализ уязвимостей

Согласно регуляторным актам (ФСТЭК, ФСБ, стандарты ОУД), проверяющие органы могут запросить отчеты об анализе уязвимостей. Без них возможны предписания, штрафы, сложности при сертификации или лицензировании.

Уязвимости в коде, в API, неправильные настройки защиты или отсутствующие обновления — это частые причины утечек данных, заражения систем, компрометации. Анализ позволяет обнаружить слабые места до того, как ими воспользуются злоумышленники.

Если ваш продукт будет уязвим, это может дорого обойтись — финансово и репутационно. Клиенты, партнеры, пользователи ценят, когда ПО развивается с учетом безопасности.

Лучше предотвратить проблему заранее, чем исправлять последствия. Анализ позволяет планировать защиту, оптимизировать вложения в безопасность, не тратить больше, чем нужно.

По результатам будет составлен отчет об анализе уязвимостей ОУД, в котором перечислены все найденные слабые места: SQL-инъекции, XSS, ошибки авторизации, утечка данных, неправильная работа сессий и др. Мы:

— Классифицируем риски — по критичности (влияние / вероятность), с приоритетами исправлений.

— Дадим рекомендации по устранению — что надо исправить, как переписать код, поправить настройки, закрыть доступы, обновить зависимости.

— Внедрим технические «быстрые победы» — изменения, которые можно сделать оперативно, без серьёзных затрат.

— Составим план улучшений — среднесрочные и долгосрочные меры, поэтапный дорожный план.

1. Сбор информации

2. Обследование

3. Анализ результатов

4. Подготовка отчёта & рекомендаций

5. Поддержка (по желанию)

Этап

Получаем доступ к исходному коду, архитектуре, API-спецификациям, внешним интерфейсам, окружению.

Что делаем

Предоставление доступа / сдачи артефактов / интервью с разработчиками.

Ваше участие

2. Обследование

3. Анализ результатов

4. Подготовка отчёта & рекомендаций

5. Поддержка (по желанию)

Выясняем бизнес-цели, строим карту процессов, выдаем чек-лист данных для доступа.

Запускаем автоматические сканеры, выполняем ручной анализ кода, проверяем конфигурации, библиотеки, зависимости.

Сопоставляем находки с требованиями ОУД, оцениваем последствия, составляем матрицу уязвимостей.

Формируем отчёт, даём рекомендации, предложения по исправлению.

Что делаем

Консультации по внедрению исправлений, проверка закрытия уязвимостей.

Один видеозвонок, 60 мин.

Возможно, помощь IT-команды, согласование времени тестирования.

Обсуждение критичных моментов, понимание бизнес-логики.

Приём отчёта, уточнение деталей, согласование приоритетов.

Ваше участие

Опционально — можете подключить нас как ресурс.

Оперативность: от 3 до 10 рабочих дней в зависимости от масштаба приложения и числа компонентов.