Информационная безопасность

мы на связи:

+7 (499) 990-01-24
info@itq-group.com

Разрабатываем ПО для банков, страховых, инвестиционных и ретейл-компаний, где безопасность определяет устойчивость бизнеса. Информационная безопасность встроена в каждый этап разработки — от проектирования архитектуры до сопровождения системы в продакшене.

обсудить проект

Secure SDLC

Безопасность встроена в жизненный цикл разработки
OWASP

Следуем отраслевым рекомендациям и практикам
2FA + PAM

Контроль доступа к инфраструктуре
152-ФЗ и ГОСТ

Учитываем требования финансового сектора

/ Принципы, на которых мы строим разработку

Безопасность

с самого начала

Защиту закладываем в архитектуру на этапе проектирования, когда устранение рисков стоит дешевле всего

Минимум
доступа

Каждый пользователь, сервис и компонент получает только те права, которые нужны для конкретной задачи

Многоуровневая
защита

Система защищена несколькими независимыми рубежами: при сбое одного остальные продолжают удерживать защиту

Защита данных на всех этапах

Данные защищаются и при передаче, и при хранении — шифрование каналов и чувствительной информации

Постоянный контроль

События безопасности журналируются и отслеживаются, что позволяет быстро замечать аномалии и реагировать на них

/ Безопасная разработка

устраняем причины уязвимостей раньше, чем они попадают в релиз

Моделирование угроз

угрозы и требования к защите моделируются на этапе проектирования архитектуры и учитываются в проектных решениях заранее

Code Review

каждое изменение проходит ревью коллег перед попаданием в основную ветку

Контроль доступов

доступ к репозиториям, средам и инфраструктуре разграничен по принципу минимальных привилегий, а пароли, токены, ключи и строки подключения хранятся вне исходного кода

Контроль зависимостей

состав сторонних библиотек контролируется, риски атак на цепочку поставок (supply chain) учитываются явно

SAST и SCA

статический анализ кода (SAST) и проверка зависимостей (SCA) встроены в конвейеры CI/CD и работают на каждое изменение

Обезличенные данные

в средах разработки и тестирования используются обезличенные или синтетические данные, доступ к боевым данным заказчика ограничен и контролируется

/ Архитектура, устойчивая к атакам

безопасность системы определяется не отдельными средствами защиты, а архитектурными решениями, заложенными в её основу

Разделение уровней

данные, бизнес-логика и интерфейсы изолированы и взаимодействуют только через контролируемые границы доверия
Минимальные привилегии

каждый компонент и пользователь получает строго тот доступ, который необходим для его задачи
Контроль на стороне сервера

клиентское приложение выполняется на устройстве пользователя, вне нашего контроля (недоверенная среда), поэтому все проверки прав доступа и бизнес-правил выполняются на сервере
Защита от типовых угроз

валидация входных данных, защита от инъекций и XSS, безопасная работа с сессиями в соответствии с рекомендациями OWASP

/ Защита данных заказчика

данные, к которым мы получаем доступ в ходе проектов —
зона особой ответственности

VPN

доступ к инфраструктуре по защищённым каналам

PAM

контроль привилегированных действий

2FA

многофакторная аутентификация

Аппаратные токены

дополнительный уровень защиты

Need-to-Know

разграничение прав по принципу «знать только необходимое»

NDA

организационная защита данных

/ Соответствие законодательству и требованиям регуляторов

мы работаем в правовом поле Российской Федерации и проектируем решения с учётом отраслевых требований к безопасности

152-ФЗ

обработка персональных данных в соответствии с законодательством
ГОСТ Р 57580

для проектов в финансовой сфере учитываем требования Банка России к защите информации
Территория РФ

размещение команды и ресурсов

Порядок обработки персональных данных описан в Политике конфиденциальности

/ Технологическая независимость и импортозамещение

помогаем заказчикам снижать зависимость от зарубежного ПО и переходить на отечественные и открытые технологии

Миграция
с зарубежных платформ

оказываем услуги импортозамещения на российский и open-source стек

Отсутствие
vendor lock-in

проектируем архитектуру так, чтобы избежать привязки к единственному поставщику

Контролируемый переход на новый стек

сохраняем функциональность и безопасность решения в ходе миграции

/ Управление инцидентами

процесс реагирования на инциденты выстроен по понятным этапам:

Обнаружение

мониторинг и фиксация событий безопасности

Локализация

ограничение воздействия и предотвращение распространения

Устранение

ликвидация причины и восстановление штатной работы

Уведомление

своевременное информирование заказчика и совместный разбор

оставить заявку

Аудит кода и архитектуры

аудит кода и архитектуры на соответствие практикам безопасной разработки (Secure SDLC) и рекомендациям OWASP
Проверка соответствия

оценка соответствия требованиям к защите информации, актуальным для финансового сектора (152-ФЗ, ГОСТ Р 57580)
Анализ уязвимостей

анализ сторонних зависимостей и конфигураций, выявление типовых уязвимостей и слабых мест
План исправлений

рекомендации по устранению найденных рисков и сопровождение исправлений

Оценка любого проекта, который попадает в работу — от 100 000 рублей.
Итоговая стоимость услуг оговаривается индивидуально в зависимости от проекта, подобранной команды и перечня оказываемых услуг.