AVERI Security. Независимая практика по информационной безопасности

Метод: пассивный осмотр

Смотрю только то, что доступно любому посетителю, плюс поведение страницы при загрузке. Активного воздействия на сайт нет.

Это принципиально, а не осторожность: сканирование чужого ресурса без письменного разрешения владельца это состав, а не аудит. Поэтому работа начинается с бумаги и не начинается без неё.

Чем смотрю: журнал сетевых запросов браузера за первые три секунды загрузки, заголовки ответа и сертификат, реестр операторов персональных данных Роскомнадзора, разметка Schema.org и метаданные, выложенные на сайте документы, настройки получателя данных из форм.

Услуги

01

Аудит соответствия 152-ФЗ

Обследование сайта и внешнего периметра, инвентаризация обрабатываемых персональных данных, перечень несоответствий с отсылками к нормам, план устранения по приоритету.

02

Документы оператора персональных данных

Политика обработки, согласия, поручения на обработку подрядчикам, порядок действий при утечке, назначение ответственного.

03

Безопасность веб-ресурса

Проверка внешнего периметра, настройка заголовков безопасности, разграничение доступа, резервное копирование, базовый мониторинг.

Что входит в отчёт

PDF, 5 страницс реквизитами и подписью исполнителя

Приложениевыдержка из журнала запросов и снимки экрана

Шапкаобъект с поддоменами, дата, основание, объём

01

Перечень проверенного

Шесть направлений: политика обработки, согласия под формами, cookie и счётчики, трансграничная передача, запись в реестре операторов, соответствие текста политики фактическому сбору.

02

Результаты

Каждое несоответствие по одной схеме: что именно зафиксировано, каким способом это увидели, какая часть какой статьи нарушена, что сделать.

03

Очерёдность устранения

Отсортирована не по тяжести, а по отношению «как быстро находится при проверке» к «сколько стоит исправить». С разделением: что закрывается за день силами заказчика, а что требует разработчика.

04

Выводы

Сколько несоответствий найдено и сколько из них не видны при обычном просмотре сайта.

05

Ограничения

Что это не юридическая консультация, что результаты на дату проверки, что не входит в периметр и что отчёт не гарантирует отсутствие проверок.

06

Приложения

Доказательства по каждой находке: фрагменты запросов, снимки экрана, ссылки на реестры.

У каждой находки указан способ проверки. Заказчик может повторить её сам и убедиться, а не верить на слово. Это главное отличие от того, что обычно выдают под видом аудита.

Как проходит работа

01

Письменное разрешение владельца на осмотр ресурса

02

Обследование, 2-5 рабочих дней

03

Отчёт: что нашли, чем грозит, что делать в каком порядке

04

Сопровождение устранения по договорённости

С какими сайтами работаю

Корпоративные сайты, лендинги и сайты услуг
Небольшие интернет-магазины
Сайты клубов, студий и школ
Платформа любая: WordPress, Tilda, Bitrix, самописные

Платёжный контур под PCI DSS: другая квалификация, честнее отказаться
Государственные и медицинские информационные системы
Любой сайт без письменного разрешения владельца
Заказы «проверьте вот этот чужой сайт» от третьих лиц

Исполнитель

Лев Аверьянов. Инженер по информационной безопасности, профильное образование: ЛГПУ имени П. П. Семёнова-Тян-Шанского.

Работаю как самозанятый, без посредников и без субподряда: обследование, отчёт и документы делаю сам, поэтому за каждую находку могу ответить лично.

Что делаю: аудит, политику обработки и тексты согласий. Чего не делаю: не представляю интересы в суде и в споре с регулятором. Это работа юриста, и честнее сказать об этом сразу.

Где меня читают

Instagram

Блог по информационной безопасности

Короткие разборы конкретных задач: проверка машины при подозрении на взлом, сетевая диагностика, целостность файлов, сборка домашнего стенда. Аккаунт собирает сотни тысяч просмотров.

@levi_averi

Сообщество по кибербезопасности

Разборы, рабочие материалы и ответы на вопросы. Сюда выкладываю то, что не помещается в короткое видео.

@averi_security

Обсудить задачу

Напишите, что за ресурс и что беспокоит. Отвечу, укладывается ли задача в аудит или нужен другой порядок работы.

Почта audit@levi-averi.com

Telegram-канал @averi_security

Instagram @levi_averi

Самозанятый, Аверьянов Лев
Реквизиты для договора предоставляются по запросу