78%
утечек ПДн через API
500 млн
руб -- оборотные штрафы
52+
инструментов безопасности
10 сек
экспресс-проверка API
Услуги информационной безопасности: от аттестации до непрерывной защиты API
В 2025 году 78% утечек ПДн в России произошли через уязвимости API, а не через физический доступ. Аттестация и ОРД -- необходимы, но недостаточны. VAHREST не заменяет интеграторов и лицензиатов ФСТЭК, а дополняет их автоматизированной технической верификацией.
Оборотные штрафы по 152-ФЗ с 2025 года -- до 500 млн руб. Утечка данных 100 тыс. субъектов -- штраф до 15 млн руб (первичная) / до 500 млн руб (повторная). Узнайте больше о автоматизированном пентесте API.
Наши услуги информационной безопасности
Классические ИБ-услуги + автоматизированный пентест API. Нажмите на карточку для перехода к деталям.
Аудит ИБ
От классического обследования до непрерывного мониторинга. Сравнительная таблица подходов.
Аттестация ИСПДн
7 этапов аттестации. Ориентировочные бюджеты. Чек-лист готовности к аттестации.
Защита ПДн по 152-ФЗ
Документы + техническая защита. 16 типов ОРД. Оборотные штрафы до 500 млн руб.
Верификация СЗИ/СКЗИ
Проверка после внедрения. 52+ инструментов для верификации реальной защиты.
Дополнительные возможности
AI Security, Mobile, Cloud, разведка домена, бизнес-логика, CI/CD.
Калькулятор ROI
Рассчитайте экономию: стоимость ручного пентеста vs VAHREST.
Аудит ИБ: от классического обследования до непрерывного мониторинга
Классический аудит ИБ включает обследование бизнес-процессов, оценку зрелости ИБ, проектирование систем защиты и консультации. Однако такой подход имеет ограничения:
- Разовый -- через месяц данные устаревают
- Ручной -- покрытие 20--40% API (выборочная проверка)
- Дорогой -- 1--5 млн руб за разовую проверку
- Без технической верификации в реальном времени
| Параметр | Классический аудит ИБ | VAHREST: автоматизированный аудитРекомендуем |
|---|---|---|
| Стоимость | 1--5 млн руб разово | от 100 тыс. руб/мес |
| Время до результата | 2--4 недели | 15 минут |
| Покрытие API | 20--40% (выборка) | 100% эндпоинтов |
| Частота | 1--2 раза в год | Непрерывно (по расписанию) |
| Актуальность данных | Устаревают через месяц | Всегда актуальны |
| Compliance-отчёт | Вручную | Авто-маппинг 152-ФЗ, PCI DSS, ГОСТ |
| OWASP API Top 10 | Частично | Полное покрытие (52+ инструментов) |
Лучший подход -- комбинация: интегратор проводит организационный аудит, VAHREST обеспечивает непрерывную техническую верификацию. Подробнее о возможностях автоматизированного пентеста API и тарифных планах.
Аттестация ИСПДн: полный процесс и автоматическая проверка готовности
Аттестация обязательна для ГИС (Приказ ФСТЭК №17), рекомендована для ИСПДн (Приказ №21), и обязательна для объектов КИИ (Приказ №239, ФСБ №378, ПП РФ №1119).
Предварительное обследование ИСПДн
Инвентаризация систем, классификация данных, определение границ ИСПДн. Срок: 1--2 недели.
Разработка Модели угроз
По методикам ФСБ и ФСТЭК. Определение актуальных угроз и нарушителей. Срок: 2--3 недели.
Разработка ТЗ на СЗПДн
Техническое задание на систему защиты персональных данных. Срок: 1--2 недели.
Разработка ОРД -- 16 документов
Полный комплект организационно-распорядительных документов по 152-ФЗ. Срок: 2--4 недели.
Разработка технического проекта
Архитектура системы защиты, выбор СЗИ/СКЗИ, схемы развёртывания. Срок: 1--2 недели.
Поставка и внедрение СЗИ
Установка и настройка средств защиты информации и СКЗИ. Срок: 2--6 недель.
Приёмочные испытания и аттестат
Проведение испытаний, оформление протоколов, получение аттестата соответствия. Срок: 1--2 недели.
Ориентировочные бюджеты аттестации
| Этап | Ориентировочная стоимость |
|---|---|
| Обследование + Модель угроз | 200--500 тыс. руб |
| Разработка ОРД (16 документов) | 150--400 тыс. руб |
| Технический проект + внедрение | 500 тыс. -- 3 млн руб |
| Аттестационные испытания | 200--800 тыс. руб |
| Итого | от 1 млн до 5+ млн руб |
Непрерывная техническая верификация
После того как лицензиат ФСТЭК выполнил аттестацию, VAHREST обеспечивает непрерывную проверку -- защита реально работает, а не только на бумаге. Стоимость: от 100 тыс. руб/мес. Для госсектора и КИИ -- программа Enterprise.
Чек-лист: готовы ли вы к аттестации?
- Определены границы ИСПДн и перечень обрабатываемых ПДн
- Назначен ответственный за организацию обработки ПДн
- Разработана и утверждена Модель угроз
- Подготовлен комплект ОРД (16 документов)
- Выбраны и закуплены средства защиты информации
- Проведён пентест API и устранены критические уязвимости
- Сотрудники ознакомлены с инструкциями по безопасности
Защита персональных данных: документы + техническая защита API
Проблема: 80% интеграторов делают только документы (16 типов ОРД), но не проверяют техническую защиту. Как реально утекают ПДн в 2025--2026 году -- через API:
BOLA
Broken Object Level Authorization -- доступ к чужим данным по ID (GET /api/users/12345)
Broken Authentication
Перебор паролей, угон JWT-сессий
Mass Assignment
Изменение чужих полей (role=admin через API)
Excessive Data Exposure
API отдаёт больше данных, чем нужно (паспорт, СНИЛС в ответе)
Документы16 типов ОРД (интеграторы)
- Политика по обработке и защите ПДн
- Положение об обработке и защите ПДн
- Приказ о назначении ответственного
- Акт оценки вреда субъектам ПДн
- Акт определения уровня защищённости ИСПДн
- Форма акта об уничтожении ПДн
- Формы согласий на обработку
- Форма поручения на обработку
- Соглашение о конфиденциальности
- Инструкция ответственного
- Правила рассмотрения запросов субъектов
- Журнал учёта обращений
- Инструкция пользователя ИСПДн
- Уведомления для РКН
- Обязательство о неразглашении
- Модель угроз
ТехникаЧто проверяет VAHREST
| Документ (интегратор) | Проверка (VAHREST) |
|---|---|
| Модель угроз | Реальные уязвимости API по модели угроз |
| Политика обработки ПДн | Проверка утечек ПДн через API endpoints |
| Акт уровня защищённости | Техническая верификация уровня защиты |
| Инструкция пользователя | Тестирование аутентификации и авторизации |
| ОРД (16 документов) | 52+ инструментов сканирования в реальном времени |
Оборотные штрафы с 2025 года
Утечка данных 1 000 субъектов -- штраф до 5 млн руб
Утечка данных 10 000 субъектов -- штраф до 10 млн руб
Утечка данных 100 000 субъектов -- штраф до 15 млн руб (первичная) / до 500 млн руб (повторная)
187-ФЗ (КИИ) -- уголовная ответственность до 10 лет
Выберите подходящий тарифный план или узнайте подробнее о пентесте API.
Верификация после внедрения СЗИ/СКЗИ: убедитесь, что защита работает
Проблема: «Замок без проверки, закрылась ли дверь» -- интегратор поставил межсетевой экран, WAF, СКЗИ, но никто не проверил, что они реально блокируют атаки.
Процесс: Интегратор установил → VAHREST проверил → отчёт для руководства + для ФСТЭК. Мы не замена интеграторам -- мы их контроль качества.
WAF и межсетевые экраны
- GoTestWAF -- 1000+ payloads для bypass SQLi, XSS, RCE, SSRF
- Nuclei -- 8000+ шаблонов CVE, мисконфигурации, дефолтные пароли
- Nikto -- 6700+ проверок веб-серверов
Активное сканирование
- OWASP ZAP -- XSS, SQLi, CSRF, активное/пассивное сканирование
- Wapiti -- перекрёстная верификация с ZAP (Black-box)
- SQLMap -- boolean blind, time blind, error-based, UNION, stacked queries
Криптография и TLS
- testssl.sh -- TLS/SSL аудит, ГОСТ, BEAST/POODLE/Heartbleed/ROBOT
Авторизация и аутентификация API
- VAHREST Auth Tester -- BOLA, BFLA, JWT/Bearer/API Key
- VAHREST Rate Limit Tester -- OWASP API4, детекция 429/Retry-After
Разведка и обнаружение
- Katana -- краулинг URL, эндпоинтов, JS-файлов
- Kiterunner -- brute-force скрытых API с API-словарями
- ffuf -- фаззинг директорий, .git, .env, /admin, /backup
- Nmap -- открытые порты, версии сервисов, NSE-скрипты
Out-of-Band детекция
- Interactsh -- DNS/HTTP/SMTP коллбэки для blind SSRF, blind SQLi, Log4Shell
DNS и домен
- DNS Security Audit -- SPF, DKIM, DMARC, DNSSEC
Зависимости и секреты
- Trivy -- CVE в npm, pip, go.mod, Docker-образах
- Gitleaks -- API-ключи, пароли, токены в git-истории
Облако и IaC
- Prowler -- 300+ проверок AWS/GCP/Azure (CIS/PCI-DSS)
- Checkov -- Terraform, K8s, Dockerfile, CloudFormation
Бизнес-логика
- VAHREST Race Detector -- 15 параллельных запросов (double-spend)
- VAHREST Mass Assignment -- role=admin, is_admin=true, discount=100
Compliance РФ
- VAHREST 152-ФЗ Audit, KII Audit, БДУ ФСТЭК
- Совместимость с XSpider (серт. №3247), RedCheck (серт. №3172)
Смотрите полный каталог проверок пентеста API или сравните VAHREST с другими решениями.
Что ещё умеет VAHREST: полный спектр автоматизированной безопасности
Уникальные возможности, которых нет ни у одного классического интегратора.
Безопасность AI-агентов
Пресеты: ai_agent_security, ai_agent_full, mcp_audit
Инструменты: Garak (NVIDIA), Promptfoo, Nexus MCP Auditor, Nexus Agent PrivEsc, PyRIT (Microsoft)
Jailbreak, prompt injection, data leakage, privilege escalation AI-агентов, аудит MCP-серверов. Маппинг: OWASP Top 10 for Agentic Applications 2026.
Проверьте безопасность AI-агентаМобильная безопасность
Пресеты: mobile_security
Инструменты: MobSF, Gitleaks, Semgrep, Trivy
APK/IPA статический анализ, hardcoded secrets, cleartext traffic, WebView уязвимости, уязвимые зависимости.
Проверьте мобильное приложениеОблачная безопасность
Пресеты: cloud_security
Инструменты: Prowler, Checkov, Trivy, Gitleaks
IAM misconfiguration, S3 public access, security groups, CloudTrail, encryption, CIS Benchmarks для AWS/GCP/Azure.
Аудит безопасности облакаРазведка домена и периметра
Пресеты: domain_basic, domain_full
Инструменты: Subfinder, Amass, dnsx, httpx, DNS Security Audit, Katana
Субдомены, DNS-конфигурация (SPF, DKIM, DMARC, DNSSEC), живые сервисы, staging/dev-окружения, технологический стек.
Узнайте, что видно снаружиТестирование бизнес-логики
Пресеты: custom
Инструменты: VAHREST Business Logic Tester, Race Condition Detector, Mass Assignment Detector
LLM-генерация атакующих тест-кейсов, double-spend, price tampering, workflow bypass, privilege escalation, дублирование транзакций.
Проверьте бизнес-логику APIПеред релизом (CI/CD)
Пресеты: before_release
Инструменты: Semgrep, Trivy, Gitleaks, Syft, Legitify, Checkov, Spectral, Schemathesis
Уязвимости в коде и зависимостях, секреты, SBOM, политики GitHub/GitLab, IaC, OpenAPI lint. Время: ~5 минут.
Интегрируйте в CI/CDКалькулятор ROI: сколько вы экономите с VAHREST
Параметры
Стоимость VAHREST
100 тыс. руб/мес
1.2 млн руб / год
Ручной пентест (для сравнимого покрытия)
2.0 млн руб/год
Экономия
800 тыс. руб(ROI 67%)
Потенциальный штраф при утечке
до 7.5 млн руб
Повторная утечка -- до 500 млн руб (оборотный штраф)
Итоговое сравнение подходов к информационной безопасности
| Критерий | Только документы (интеграторы) | Только VAHREST | КомбинацияРекомендуем |
|---|---|---|---|
| Compliance на бумаге | |||
| Аттестат ФСТЭК | |||
| Реальная защита API | |||
| Непрерывный мониторинг | |||
| Безопасность AI-агентов | |||
| Мобильная безопасность | |||
| Облачный аудит | |||
| Тестирование бизнес-логики | |||
| CI/CD интеграция | |||
| SBOM (инвентарь ПО) | |||
| Стоимость | 1--5 млн руб разово | от 100 тыс. руб/мес | 1--5 млн + 100 тыс./мес |
| Готовность к проверке РКН | Документы | Техника | Полная |
Смотрите детальное сравнение с другими решениями и выберите подходящий тарифный план. Для крупных организаций доступна программа Enterprise.
Частые вопросы об услугах информационной безопасности
Начните с бесплатной проверки
Экспресс-проверка за 10 секунд покажет первые уязвимости. Полный демо-скан за 15 минут -- с отчётом для руководства и техническим заключением.