Методология аудита
Как мы проверяем, что фиксируем и что вы получаете на выходе. Семь фаз, честные доказательства, воспроизводимость и повторная проверка.
Как устроен аудит
Семь фаз: выход каждой — вход следующей. От согласования границ до отчёта с доказательствами и повторной проверки.
- 1Скоуп и авторизацияГраницы, право, цель по стандарту
- 2РазведкаКарта поверхности атаки
- 3Моделирование угрозЧто и как проверяем — по рискам
- 4Анализ уязвимостейНаходим уязвимости и слабые места
- 5ЭксплуатацияКонтролируемо подтверждаем находки
- 6Пост-эксплуатация и влияниеПереводим в бизнес-риск: «и что с того»
- 7Отчёт и retestДоказательства и повторная проверка
Что мы проверяем
Web и API
Приложения, API, аутентификация, логика доступа (OWASP ASVS/WSTG, API Top 10).
Сеть
Внешний и внутренний периметр, сегментация, службы и конфигурации.
Mobile
Android/iOS-приложения и их бэкенд (OWASP MASTG).
Облако и конфигурации
Azure/AWS, IAM, хранилища, базовые линии (CIS Benchmarks).
Что вы получаете
Находки с приоритетом по риску
Критичность и бизнес-влияние, а не просто список.
Воспроизводимые доказательства
Шаги, запросы/ответы, артефакты — находку можно повторить.
Рекомендации по исправлению
Выполнимые шаги со ссылками на стандарт/лучшую практику.
Повторная проверка (retest)
Проверяем, что замечание действительно закрыто.
Gap-анализ под стандарт
По запросу — соответствие ISO/PCI/SOC 2 в виде матрицы.
Соответствие и сертификация
Мы готовим вас к сертификации (ISO 27001 / PCI DSS / SOC 2): даём доказательную базу и закрываем замечания. Сам сертификат выдаёт уполномоченный орган — мы его не выдаём.
Обсудим вашу задачу
Расскажите, что нужно проверить или защитить — предложим понятный объём работ и следующий шаг.