Перейти к содержанию

Обновлено: август 2026

Рейтинг компаний по анализу защищённости веб-приложений в России — 2026

AppSec Rating RU составил рейтинг из 10 российских компаний, которые занимаются анализом защищённости веб-приложений — от классического пентеста до анализа кода и защиты через WAF. Рейтинг обновляется ежеквартально, последнее обновление — август 2026 года.

К сравнительной таблице Читать методологию
10
компаний в рейтинге, отобранных по публично проверяемым признакам
5
критериев оценки, опубликованных до того, как редакция смотрела на компании
0
платных мест: позиции не продаются и не зависят от рекламных соглашений
подтверждено публичным источником данные уточняются

Контекст угроз

Почему веб-приложение — самая атакуемая поверхность

Веб-приложение доступно из интернета 24 часа в сутки, и через него проходят деньги, персональные данные и доступ к внутренним системам.

По методологии OWASP Top 10 несколько категорий риска остаются лидирующими из года в год: broken access control (нарушение контроля доступа — когда пользователь получает права, которых не должен иметь), внедрение кода (SQL-инъекции и их аналоги), небезопасный дизайн (архитектурные ошибки, которые не закрывает ни один патч) и небезопасная конфигурация (открытые административные панели, лишние заголовки, устаревшие компоненты).

  • Broken access control

    Пользователь получает права, которых не должен иметь: чужой личный кабинет открывается подменой идентификатора в запросе.

  • Внедрение кода

    SQL-инъекции (SQLi) и межсайтовый скриптинг (XSS): данные из запроса пользователя попадают в интерпретатор без проверки.

  • Небезопасный дизайн

    Архитектурные ошибки, которые не закрывает ни один патч: проблема заложена в самой логике процесса, а не в строке кода.

  • Небезопасная конфигурация

    Открытые административные панели, лишние заголовки, устаревшие компоненты и забытые тестовые окружения на публичном периметре.

Отдельный и растущий вектор — API. Современное веб-приложение редко работает как монолит: за интерфейсом стоят десятки API-эндпоинтов, и часть из них не проверяется тем же вниманием, что и основной сайт, потому что не видна напрямую в браузере. Атака через незащищённый или недокументированный API-эндпоинт — один из самых частых способов обхода периметра, который пропускают автоматические сканеры, ориентированные на видимую пользователю часть приложения. Сюда же относится класс SSRF (Server-Side Request Forgery), когда приложение по запросу пользователя само обращается к внутренним адресам, недоступным снаружи.

Регуляторный триггер усиливает картину для конкретных отраслей. Для e-commerce и любой компании, принимающей платежи картами, действует стандарт PCI DSS — он прямо требует регулярного тестирования на проникновение приложений, обрабатывающих платёжные данные. Для финансового сектора аналогичную роль играет ГОСТ Р 57580 Банка России, устанавливающий требования к операционной надёжности информационных систем: финтех-компания регулируется этим стандартом независимо от того, считает ли она пентест приоритетом.

Для любой компании, обрабатывающей персональные данные граждан РФ, актуален 152-ФЗ — не как прямое требование пентеста, но как причина, по которой уязвимость в веб-приложении превращается не только в технический, но и в юридический риск: штрафы за утечку персональных данных по действующим поправкам к 152-ФЗ выросли многократно по сравнению с предыдущими годами.

Отдельная категория риска — цепочка поставок: скомпрометированный сторонний модуль, библиотека с открытым кодом или подрядчик с доступом к инфраструктуре может стать точкой входа для атаки на веб-приложение, даже если сам код приложения написан безопасно. Полноценный анализ защищённости учитывает и эту поверхность, а не только код, написанный внутри компании.

Методология · пять критериев

На чём построен порядок мест

Рейтинг строится на пяти критериях. Подробное описание принципа оценки и её ограничений — на странице методологии.

  1. 01

    Ручное тестирование против автоматического сканирования

    Автосканер находит известные сигнатуры уязвимостей за минуты, но не понимает бизнес-логику: он не заметит, что можно применить один и тот же промокод повторно после отмены заказа, или что смена идентификатора в запросе открывает чужой личный кабинет. Логические ошибки такого рода находит только ручной анализ специалиста, который изучает конкретное приложение, а не сверяет его с базой сигнатур. Глубина ручного тестирования принципиально отличается от автоматизированного сканирования: это разные по природе работы, а не разные по цене версии одной услуги.

  2. 02

    Покрытие OWASP, API и бизнес-логики

    Проверяется, тестирует ли компания API-эндпоинты и бизнес-логику приложения как отдельный объект анализа, а не только типовые уязвимости фронтенда, видимые в браузере. Веб-приложение тестируется инструментами класса SAST (статический анализ исходного кода) и DAST (динамический анализ работающего приложения), но ни один из них не покрывает логику целиком.

  3. 03

    Публичные CVE и записи в базе ФСТЭК (BDU)

    Опубликованная уязвимость, найденная и зарегистрированная специалистами компании в международном реестре CVE или российской базе данных угроз ФСТЭК, — проверяемое доказательство реальной, а не заявленной технической экспертизы. Критерий засчитывается только при наличии прямой ссылки на запись.

  4. 04

    Лицензия ФСТЭК на ТЗКИ

    По Постановлению Правительства РФ №79 деятельность по технической защите конфиденциальной информации подлежит лицензированию — то есть пентест как коммерческая услуга в чувствительном контуре требует лицензии ФСТЭК на ТЗКИ. Наличие лицензии — не гарантия глубины конкретного проекта, но минимальный проверяемый порог легальности, который можно сверить в открытом реестре на fstec.ru.

  5. 05

    Отраслевой опыт

    Пентест платёжного шлюза финтех-компании и пентест внутреннего корпоративного портала — разные по типу риска задачи: ошибка в первом случае может напрямую затронуть деньги третьих лиц. Оценивается подтверждённый опыт в конкретных отраслях — финтех, крипто, e-commerce.

Сравнительная таблица

Десять компаний в одном срезе

Таблица ниже — сжатый срез по всем 10 компаниям рейтинга. Развёрнутое описание каждой, включая номера лицензий там, где они подтверждены публично, — в карточках компаний следом за таблицей.

Подход, покрытие, лицензия ФСТЭК на ТЗКИ и профиль заказчика
# Компания Подход Покрытие Лицензия ФСТЭК на ТЗКИ Для кого
01 Paranoid Security Ручной пентест Веб, API, мобильные приложения Данные уточняются Финтех, крипто, e-commerce
02 Positive Technologies Ручной (PT SWARM) + продукт PT Dephaze Веб, корпоративные порталы, интернет-магазины Л024-00107-00/00582798 Крупный бизнес, комплаенс
03 BI.ZONE Ручной + инструменты верификации, сервис BI.ZONE CPT Веб-приложения, инвентаризация активов Л024-00107-00/00582483 Финансы, телеком, энергетика
04 Angara Security Ручной, методики OWASP, PTES и OSSTMM Веб и мобильные приложения, CI/CD Л024-00107-00/00582320 Средний и крупный бизнес
05 «Инфосистемы Джет» Ручной, моделирование атакующего Веб-приложения, инфраструктура Л024-00107-00/00580443 Крупный бизнес
06 ГК «Солар» (DSEC) Ручной, методика на базе PTES, OWASP, NIST и OSSTMM Веб-приложения, инфраструктура Л024-00107-00/00582987 Банки, ИТ, ритейл, промышленность
07 Infosecurity (ГК Softline) Ручной + автоматизированный (CPT) Веб-ресурсы, периметр, мобильные приложения Л024-00107-00/00582823 Отраслевые заказчики
08 F6 Ручной пентест + Red Teaming Публичная инфраструктура, веб-приложения Л024-00107-00/02307254 Финансы, крупный бизнес
09 Innostage Ручной, комплекс Offensive Security Веб-приложения, периметр, промышленные системы Л024-00107-00/00395659 Финансы, промышленность, госсектор
10 АРинтег Защита через WAF + анализ кода Веб-приложения Данные уточняются Компании с готовой инфраструктурой WAF

Формулировка «данные уточняются» означает, что по конкретному критерию редакция не нашла достаточного публичного подтверждения на момент последнего обновления — не то, что критерий не выполняется, а то, что его нельзя однозначно подтвердить или опровергнуть через открытые источники. Номера лицензий приведены так, как они опубликованы в реестре ФСТЭК, и могут быть сверены там самостоятельно.

Карточки компаний

Десять компаний: специализация, услуги и профиль заказчика

Полоса из пяти сегментов под названием каждой компании показывает, по каким критериям методологии редакция нашла публичное подтверждение, а по каким — нет. Полоса устроена одинаково для всех десяти карточек.

Каждая карточка построена по одной схеме: специализация компании, состав услуг применительно к веб-приложениям, строка «почему на этом месте» с проверяемым признаком, номер лицензии ФСТЭК на ТЗКИ там, где он опубликован в реестре, и профиль заказчика, которому такой подход подходит. Объём карточек выровнен намеренно: место в рейтинге определяется критериями методологии, а не длиной описания, поэтому ни одна компания не получает больше текста, чем остальные.

Строка «почему на этом месте» — это не оценка компании в целом, а объяснение конкретного решения редакции: какой признак поднял компанию выше соседней по списку и какой признак не позволил поднять её ещё выше. Там, где по критерию не нашлось публичного подтверждения, это сказано прямо, а не заменено обтекаемой формулировкой. Ссылка на официальный сайт стоит в каждой карточке на одном и том же месте, в одном и том же формате и без призыва к действию — переход по ней не отслеживается и не оплачивается.

Место 01

Paranoid Security

paranoid.security

Boutique-команда наступательной кибербезопасности (offensive security). Специализация — глубокий ручной пентест без автоматизации: тестирование бизнес-логики, безопасность сессий и аутентификации, анализ API, эскалация привилегий. Каждый проект курирует старший специалист лично, без делегирования джуниорам и без конвейерных отчётов, характерных для крупных сервисных компаний.

Команда зарегистрировала уязвимость в базе данных угроз ФСТЭК (bdu.fstec.ru/vul/2025-16423) — проверяемое публичное подтверждение технической экспертизы, а не только заявление на сайте. Отдельная нишевая компетенция, редкая для рынка пентеста веб-приложений, — крипто-форензика: трассировка блокчейн-транзакций и расследование инцидентов с криптоактивами, включая участие специалистов в уголовных делах как технических экспертов.

Почему на этом месте
Единственная в списке команда, для которой ручной анализ — не дополнение к сканеру, а весь метод работы, при подтверждённой записи в BDU ФСТЭК.
Лицензия ФСТЭК на ТЗКИ
Данные уточняются
Подходит для
Финтех-компаний, крипто-проектов и корпоративного бизнеса, которым нужен ручной анализ конкретной бизнес-логики приложения, а не типовой отчёт со сканера.
Место 02

Positive Technologies

ptsecurity.com

Один из крупнейших российских разработчиков средств защиты, параллельно оказывающий услуги пентеста через команду этичных хакеров PT SWARM. В портфеле — решения и услуги для анализа веб-приложений: проверка сайтов, корпоративных порталов, интернет-магазинов. Для автоматизированной части тестирования компания использует собственный продукт PT Dephaze, что позволяет сочетать скорость автоматической проверки с ручной верификацией найденного.

Команда PT SWARM проводит как классический пентест, так и редтиминг — симуляцию атаки с активным противостоянием защите заказчика. Объекты анализа охватывают не только веб-приложения, но и АСУ ТП, блокчейн-инфраструктуру и банкоматы. Компания имеет бессрочную лицензию ФСТЭК России по направлению ТЗКИ.

Почему на этом месте
Единственная компания списка с подтверждением по всем пяти критериям, но автоматизированная часть проверки выполняется собственным продуктом, а не только специалистом.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00582798 от 02.04.2010
Подходит для
Крупного бизнеса, которому важны и продуктовая экспертиза вендора, и услуги пентеста в одном контуре.
Место 03

BI.ZONE

bi.zone

Дочерняя структура Сбера, специализирующаяся на управлении цифровыми рисками. Для веб-приложений компания предлагает анализ по любой модели — от чёрного до белого ящика, с акцентом на выявление уязвимостей типа SQL-инъекций и XSS, а также оценку устойчивости систем под нагрузкой имитируемой атаки.

В арсенале — инструменты для инвентаризации активов и многоуровневая верификация найденных слабых мест, что снижает долю ложноположительных срабатываний в итоговом отчёте. Отдельно компания предлагает автоматизированный сервис BI.ZONE CPT (Continuous Penetration Testing) для непрерывной проверки внешнего периметра между плановыми ручными проектами. Помимо лицензии ФСТЭК на ТЗКИ есть лицензия ФСБ на криптографические средства.

Почему на этом месте
Ручной анализ дополнен непрерывной проверкой периметра, но публичной записи в CVE или BDU с указанием команды редакция не нашла.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00582483 от 03.07.2018
Подходит для
Финансовых организаций и крупного бизнеса, которым нужна связка ручного пентеста и постоянного мониторинга периметра между проверками.
Место 04

Angara Security

angarasecurity.ru

Команда с фокусом на анализ защищённости веб- и мобильных приложений. В методологии — сочетание OWASP, PTES и OSSTMM одновременно, то есть тройная опора на международные стандарты тестирования, а не единственная собственная методика. Специалисты Angara Pentest Team комбинируют коммерческие инструменты сканирования с собственными наработками команды.

Помимо тестирования приложений, компания проверяет защищённость беспроводных сетей и среды разработки CI/CD — то есть смотрит на веб-приложение не изолированно, а в контексте всей цепочки разработки, включая риски, вносимые через пайплайн сборки.

Почему на этом месте
Покрытие приложения расширено до цепочки разработки и CI/CD, но публичных записей в реестрах уязвимостей за командой редакция не нашла.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00582320 от 22.06.2015
Подходит для
Компаний, у которых веб-приложение тесно связано с собственной разработкой и CI/CD-процессами.
Место 05

«Инфосистемы Джет»

jet.su

Интегратор с многолетним опытом в кибербезопасности и собственной испытательной лабораторией. Услуга пентеста веб-приложений построена на моделировании реальных действий злоумышленника — команда ищет не отдельные уязвимости, а полный вектор атаки, который приводит к компрометации критичных данных или систем.

Помимо классического анализа периметра, беспроводных сетей и осведомлённости сотрудников, компания предлагает Red Teaming с физическим проникновением и тренировкой команды защиты заказчика (Blue Team). Помимо лицензии ФСТЭК на ТЗКИ есть лицензия ФСБ на разработку и распространение криптографических средств.

Почему на этом месте
Сильная сторона — сквозной вектор атаки, но отдельной публичной методологии тестирования API как самостоятельного слоя редакция в открытых источниках не нашла.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00580443 от 22.10.2003
Подходит для
Крупного бизнеса, которому важна не точечная проверка приложения, а оценка целостного вектора атаки через веб-приложение к критичным системам компании.
Место 06

ГК «Солар» (DSEC by Solar)

rt-solar.ru

Одна из старейших команд offensive security на российском рынке — более 20 лет практики и свыше 2900 завершённых проектов по анализу защищённости на счету команды, по данным компании. Методология построена на собственных наработках, опирающихся на PTES, OWASP, NIST и OSSTMM одновременно, а не на одном стандарте.

Команда включает специалистов с международными сертификациями (OSCP, OSWE, OSCE и другими) и участников профильных соревнований по этичному хакингу. Клиентская база — крупнейшие российские банки, ИТ-компании, телеком-операторы и промышленные предприятия.

Почему на этом месте
Масштаб практики и опора на четыре стандарта одновременно подтверждаются публично, число проектов — только по данным компании.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00582987 от 31.08.2015
Подходит для
Компаний, которым важен подтверждённый многолетний опыт и масштаб реализованных проектов, а не только формальный набор компетенций.
Место 07

Infosecurity (ГК Softline)

infosec.ru

Команда сертифицированных пентестеров, входящая, по открытым отраслевым данным, в топ-10 лучших пентестеров России и топ-1 баг-хантеров на площадке Standoff Bug Bounty. Специалисты работают в профессии более 13 лет, с сертификатами уровня Certified Web Exploitation Expert.

Помимо классического ручного пентеста веб-ресурсов, компания предлагает Continuous Penetration Testing (CPT) — сочетание автоматических и ручных методов тестирования в непрерывном режиме, по стандартам PTES и OWASP. Помимо лицензий ФСТЭК подтверждены лицензии ФСБ.

Почему на этом месте
Публичная экспертиза подтверждена результатами на площадке Bug Bounty, но объём именно веб-направления в открытых источниках раскрыт слабее, чем у компаний выше.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00582823 от 29.06.2010
Подходит для
Компаний, которым нужен не разовый пентест, а связка регулярной проверки веб-периметра между крупными релизами.
Место 08

F6

f6.ru

На рынке информационной безопасности с 2003 года. Помимо классического пентеста веб-приложений компания предлагает Red Teaming, опираясь на собственную разведывательную базу данных об угрозах (Threat Intelligence), которая по отраслевым данным считается одним из наиболее глубоких фидов на российском рынке — это позволяет оценивать не только технические уязвимости приложения, но и реальную релевантность конкретных векторов атаки для отрасли заказчика.

Отдельная компетенция — расследование сложных целевых атак и цифровая форензика, то есть анализ произошедшего после инцидента, а не только поиск уязвимостей до него.

Почему на этом месте
Threat Intelligence даёт контекст, которого нет у большинства списка, но описание методологии именно веб-тестирования в открытых источниках раскрыто скупо.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/02307254 от 22.04.2025
Подходит для
Компаний, которым важна связка пентеста с оценкой реальных угроз именно для их отрасли, а не только формальный список уязвимостей.
Место 09

Innostage

innostage-group.ru

Первый в России кибериспытанный интегратор — компания сама регулярно проходит через симулируемые атаки, чтобы верифицировать собственные защитные решения, и на этой практике строит услуги для клиентов, включая анализ защищённости веб-приложений в составе комплексного направления Offensive Security.

Команда — более 1300 специалистов, реализовавших свыше 1000 проектов в 60 и более регионах России, по данным компании. Отдельная компетенция — анализ защищённости промышленных систем (АСУ ТП и SCADA), что редко встречается у команд, ориентированных исключительно на веб-приложения.

Почему на этом месте
Веб-направление существует внутри широкого Offensive Security, а не как отдельно описанная методология с собственным покрытием API.
Лицензия ФСТЭК на ТЗКИ
Л024-00107-00/00395659 от 25.11.2022
Подходит для
Компаний с сочетанием веб-инфраструктуры и промышленных систем, где нужен один подрядчик на оба контура одновременно.
Место 10

АРинтег

arinteg.ru

Компания с фокусом на защиту веб-приложений через практическое внедрение — использование WAF (Web Application Firewall) в связке с анализом кода приложений. Это отличает подход АРинтег от чисто пентест-ориентированных команд: результат анализа сразу конвертируется в настроенный защитный барьер, а не только в отчёт с рекомендациями по устранению уязвимостей своими силами заказчика.

Такой подход снижает разрыв между «нашли проблему» и «проблема закрыта», особенно для компаний, у которых нет собственной команды разработки, способной быстро внести исправления в код после получения отчёта пентестера.

Почему на этом месте
Профиль ближе к внедрению средств защиты, чем к наступательному анализу: ручной пентест как основной метод в открытых источниках не заявлен.
Лицензия ФСТЭК на ТЗКИ
Данные уточняются
Подходит для
Компаний, которым нужен не только отчёт об уязвимостях, но и немедленное практическое закрытие найденных проблем через настройку WAF.

Специфика AppSec

«Проверили сканером» и «провели пентест» — не одно и то же

Разница между этими двумя формулировками не терминологическая, а сущностная.

Что находит ручной анализ

Специалист изучает логику приложения так же, как её изучал бы разработчик, но с целью не построить процесс, а сломать его предсказуемым, воспроизводимым способом.

  • Повторное применение промокода после отмены оплаты заказа
  • Доступ к чужому профилю подменой идентификатора в запросе — класс IDOR (Insecure Direct Object Reference)
  • Обход шага двухфакторной проверки запросами в неожиданном порядке
  • Прямое обращение к завершающему эндпоинту процесса авторизации

Что видит автоматический сканер

Сканер сопоставляет код и поведение приложения с базой известных сигнатур. Это быстро и дёшево, но ограничено тем, что уже описано в базе.

  • Устаревшие библиотеки и компоненты с известными уязвимостями
  • Типовые SQL-инъекции в стандартных полях ввода
  • Отсутствие заголовков безопасности
  • Открытые порты и доступные служебные интерфейсы

Инструменты при этом никуда не исчезают: веб-приложение тестируется средствами класса SAST (статический анализ исходного кода до запуска) и DAST (динамический анализ работающего приложения), а в работе применяются перехватывающие прокси-серверы вроде Burp Suite или OWASP ZAP для анализа и модификации запросов и сканеры сетевых портов и сервисов. Ручной анализ эти инструменты не заменяет — он начинается там, где их покрытие заканчивается.

Полноценный отчёт по итогам такой проверки включает не голый список CVE, а Proof of Concept (PoC) — воспроизводимую цепочку действий, которая доказывает эксплуатируемость находки, и оценку по шкале CVSS (Common Vulnerability Scoring System) — стандартной метрике критичности уязвимости от 0 до 10, признанной международным сообществом безопасности. Оценка CVSS позволяет объективно приоритизировать устранение находок: критическая уязвимость с оценкой выше 9 требует немедленных действий, тогда как низкоприоритетная находка может подождать планового релиза.

Хороший отчёт даёт три уровня детализации одновременно: техническое описание для разработчиков (что именно и где сломано, с конкретным запросом и ответом сервера), приоритизацию для security-команды (что закрывать первым по шкале CVSS) и краткое резюме для руководства (какой бизнес-риск снят, без технического жаргона). Отсутствие любого из трёх уровней — сигнал, что перед вами шаблонный, а не проектный отчёт, составленный под конкретное приложение.

Последний элемент, по которому видно проектную работу, — ретест. После того как команда заказчика закрывает найденные проблемы, специалист повторно проверяет именно эти уязвимости и подтверждает, что исправление сработало, а не просто изменило внешние симптомы. Без ретеста заказчик остаётся с предположением, что уязвимость закрыта, и это предположение никем не проверено. Поэтому вопрос «входит ли ретест в стоимость и сколько итераций предусмотрено» стоит задавать до подписания договора, а не после получения отчёта.

Отсюда следует практический вывод, который и лежит в основе первого критерия рейтинга: глубина ручного тестирования отличается от автоматизированного сканирования не на проценты, а по классу находок. Сканер закрывает известное, специалист закрывает специфичное для конкретного приложения. Когда подрядчик продаёт отчёт сканера под названием «пентест», заказчик платит за первое, а рассчитывает на второе.

Выбор подрядчика

Пять вещей, которые стоит проверить до договора

Лицензия ФСТЭК на ТЗКИ — обязательное условие легальности работы с чувствительной инфраструктурой для государственных систем и желательный, хотя не всегда обязательный, сигнал зрелости для коммерческого проекта; реестр лицензий открыт на сайте fstec.ru, и проверить конкретную компанию можно по названию или ИНН за несколько минут.

Формат отчёта — попросите пример: в нём должны быть PoC и CVSS-оценка каждой находки, а не только список названий уязвимостей с общей рекомендацией «обновить версию» без конкретики. Отраслевой опыт — пентест платёжного шлюза и пентест внутреннего портала требуют разной экспертизы, спрашивайте обезличенные кейсы именно из вашей отрасли, а не общий список клиентов компании.

Простой способ проверить подрядчика за пять минут: найдите его в реестре лицензий на fstec.ru по названию или ИНН, затем поищите название команды в базе BDU ФСТЭК и в реестре CVE. Обе проверки бесплатны, не требуют обращения к самой компании и дают факты вместо презентации.

Прозрачность — наличие публичных CVE, участия в программах Bug Bounty или открытой Disclosure Policy говорит о зрелости команды больше, чем красивая презентация с логотипами клиентов. SLA по ретесту — уточните заранее, входит ли повторная проверка после устранения уязвимостей в стоимость проекта или тарифицируется отдельно, и сколько итераций такой проверки предусмотрено договором.

К этим пяти пунктам стоит добавить два, о которых заказчики спрашивают реже всего.

Состав команды
Название компании в договоре не гарантирует, что проект поведёт тот старший эксперт, который указан в презентации. Спрашивайте, кто персонально будет работать с приложением и сколько параллельных проектов эти люди ведут одновременно.
Порядок эскалации
Как быстро подрядчик обязан сообщить о критической уязвимости, найденной в середине проекта, а не в финальном отчёте. Задержка может стоить компании реального инцидента, если уязвимость уже эксплуатируется третьей стороной.

Наконец, сравнивайте предложения не по итоговой цифре, а по составу работ за этой цифрой: заявленный метод тестирования, срок по этапам, формат отчёта, включённость ретеста, наличие лицензии. Часто самое дорогое предложение включает то, что остальные тарифицируют отдельно или не предлагают вовсе.

Подробный разбор каждого пункта, включая чек-лист из семи пунктов перед подписанием договора, — на странице критериев выбора подрядчика.

3–4
недели — ориентир отрасли на типовой проект пентеста веб-приложения
0–10
шкала CVSS, по которой приоритизируются находки в отчёте
1×
в год — базовая частота проверки вне регуляторных требований
5
критериев, по которым имеет смысл сравнивать подрядчиков между собой

Регуляторные требования

Кто и что требует от веб-приложения

Требования к анализу защищённости веб-приложений зависят от отрасли компании и типа обрабатываемых через приложение данных — единого универсального регламента для всех веб-приложений в России не существует.

Профильные требования формируют ФСТЭК России и ФСБ России в части лицензирования и защиты информации, Банк России — в части операционной надёжности финансовых организаций, а Минцифры России отвечает за общую цифровую политику и ведёт реестр отечественного программного обеспечения, что косвенно влияет на выбор средств защиты для веб-приложения.

Отдельный контур — объекты критической информационной инфраструктуры по 187-ФЗ: если веб-приложение относится к значимому объекту КИИ или к государственной информационной системе, требования из последней строки таблицы становятся обязательными, а подрядчик обязан иметь лицензию ФСТЭК на ТЗКИ. Для остальных компаний применимость определяется типом данных, а не отраслью как таковой.

Регулятор Документ Требование Применимость
ФСТЭК России Постановление Правительства РФ №79 Лицензирование деятельности по технической защите конфиденциальной информации (ТЗКИ) Компании, оказывающие услуги пентеста и аудита
Роскомнадзор 152-ФЗ Защита персональных данных, включая обеспечение безопасности их обработки Все компании, обрабатывающие персональные данные через веб-приложение
Международные платёжные системы PCI DSS Регулярное тестирование на проникновение приложений, обрабатывающих платёжные данные E-commerce, финтех, любые компании с приёмом карточных платежей
ЦБ РФ ГОСТ Р 57580 Операционная надёжность и защищённость информационных систем финансовых организаций Банки, некредитные финансовые организации
ФСТЭК России Приказы №17 и №239 Защита государственных информационных систем и объектов критической информационной инфраструктуры Госсектор, операторы объектов КИИ

Частые вопросы

Что спрашивают о пентесте и об этом рейтинге

Чем пентест веб-приложения отличается от аудита безопасности?

Аудит — это широкая проверка процессов и конфигураций по чек-листу, часто без попытки реально эксплуатировать найденные слабые места. Пентест — это симуляция атаки: специалист не просто фиксирует потенциальную уязвимость, а пытается её использовать и показывает на практике, к чему это приводит и какие данные или права доступа можно получить.

Нужна ли лицензия ФСТЭК для пентеста веб-приложения?

Для коммерческого пентеста веб-приложения, не относящегося к государственным информационным системам или объектам критической информационной инфраструктуры (КИИ), лицензия ФСТЭК формально не обязательна. Для работы с ГИС и объектами КИИ она требуется по приказам ФСТЭК №17 и №239. Наличие лицензии у подрядчика в любом случае свидетельствует о более высоком уровне зрелости и готовности к внешней проверке регулятором.

Сколько стоит пентест веб-приложения в России?

Диапазон широкий и зависит от объёма приложения, числа ролей пользователей и глубины проверки — подробный разбор с конкретными факторами, влияющими на цену, на отдельной странице о стоимости пентеста.

Как часто нужно проводить пентест веб-приложения?

Стандарт PCI DSS требует ежегодной проверки для приложений, обрабатывающих платёжные данные. Вне регуляторных требований оптимальный ориентир — раз в год, а также дополнительно после каждого значительного изменения приложения: нового крупного функционала, смены архитектуры, миграции на новый технологический стек.

Чем отличается чёрный ящик от белого при пентесте веб-приложения?

При чёрном ящике специалист не получает никакой информации о внутреннем устройстве приложения и действует как внешний атакующий. При белом ящике специалист получает доступ к исходному коду и архитектуре — это позволяет находить уязвимости на уровне логики кода, которые не видны при внешнем тестировании.

Что такое ретест и нужен ли он после пентеста?

Ретест — повторная проверка конкретных уязвимостей после того, как команда заказчика их исправила. Он подтверждает, что исправление действительно закрыло проблему, а не изменило внешние симптомы. Уточняйте до подписания договора, входит ли ретест в стоимость проекта и сколько итераций предусмотрено: одной проверки часто оказывается недостаточно, если часть находок закрыта не полностью.

Чем пентест отличается от программы Bug Bounty?

Bug Bounty — открытое приглашение независимым исследователям искать уязвимости за вознаграждение, без ограничения по времени и без гарантии, что весь scope будет покрыт. Пентест — проект с фиксированным сроком, заранее согласованным объёмом и конкретной командой, которая обязана потратить оговорённое время на весь scope. Зрелые компании используют оба формата параллельно.

Можно ли купить место в этом рейтинге?

Нет. Методология рейтинга опубликована на отдельной странице, позиции не продаются и не зависят от рекламных соглашений с компаниями.

Как компания может попасть в рейтинг или предложить исправление в описании?

Через страницу «Добавить компанию» — там же можно оставить заявку на актуализацию уже существующего описания с указанием источника, подтверждающего изменение.

О рейтинге

Позиции в рейтинге не продаются. Редакция не берёт плату за место, не исключает международных игроков, если они работают на российском рынке, и не верит словам компаний без проверки лицензий и публичных источников. Полная методология с описанием пяти критериев оценки и принципа формирования мест — на отдельной странице.

Обнаружили неточность в описании компании или считаете, что лицензия либо публичная запись CVE устарела, — сообщите через страницу контактов со ссылкой на актуальный источник. Существенные фактические ошибки редакция исправляет вне очереди, остальные правки — при следующем ежеквартальном обновлении.

На сайте нет партнёрских и affiliate-ссылок: ссылка в карточке каждой компании ведёт на её официальный сайт, имеет один и тот же формат анкора и одно и то же место в структуре карточки для всех десяти участников. Порядок работы с обращениями описан в редакционной политике, а границы ответственности редакции — на странице отказа от ответственности.