Требования · программа · квалификация
Согласуйте проверку под ваши системы и требования.
Для банков, финансовых организаций и регулируемых систем начинаем с определения применимых требований, состава работ и квалификации исполнителя. Подготовим предметную программу для обсуждения и закупки.
Индивидуальная программа · стоимость по согласованному объёму
Предмет проверки
От нормативного требования к проверяемому результату
Одного названия «пентест» недостаточно для закупки. Важно разделить контроль защищённости, анализ уязвимостей, оценку соответствия и аттестацию, а затем связать каждый результат с конкретным основанием и ответственным исполнителем.
Применимость требований
Фиксируем тип организации, перечень систем, значимые процессы и требования заказчика к результату.
Техническое задание
Согласуем объекты, роли, методы, ограничения, окна, формат доказательств и программу ретеста.
Квалификация исполнителя
До обязательства выполнить работы подтверждаются необходимые лицензии, опыт, независимость специалистов и допустимость средств проверки.
Конфиденциальность
Определяем данные, место обработки, каналы передачи, круг получателей и сроки хранения материалов.
Связь с командой защиты
Согласуем эскалацию, остановку, взаимодействие при признаках реального инцидента и проверку наблюдаемости.
Приёмка и остаточный риск
Отделяем качество выполнения программы от решений заказчика по устранению проблем и принятию остаточного риска.
Регулирование: точная область применения
Для кредитных организаций и филиалов иностранных банков в области действия Положения Банка России № 851-П пункт 3.2 предусматривает ежегодное тестирование на проникновение и анализ уязвимостей информационной инфраструктуры. Методические рекомендации № 2-МР отдельно описывают подходы к выбору исполнителя, его опыту и независимости, используемым инструментам и организации работ. Применимые обязательные нормы, рекомендации и требования ТЗ сопоставляются до заключения договора.
Контекст проверки
Приказ ФСТЭК № 117 и проверки ИИ
Приказ № 117 с изменениями № 137 не вводит ежегодный пентест для каждого коммерческого сайта. Пункт 66 допускает один или несколько методов контроля защищённости, а пункт 67 определяет его периодичность. Аттестация по пункту 65 — отдельная процедура. Рекомендации Банка России № 3-МР от 16.06.2026 посвящены безопасности при разработке и применении ИИ на финансовом рынке; учитываем их при согласовании программы проверки.
Осязаемый результат
Что получит ваша команда
Матрица требований
Какие требования относятся к заказчику и системе, какие сведения и документы ещё нужны для согласования.
Проект программы и ТЗ
Состав объектов, методов, результатов, ограничений и условий взаимодействия сторон.
Согласованный состав оценки
Формат отчёта и ретеста, квалификационные условия и критерии приёмки по конкретному договору.
Точный состав документов, объём помощи с исправлениями и условия ретеста фиксируются в программе и договоре.
Понятный порядок работы
- Уточняем задачу
Объекты, владельцы, критичные процессы, доступы и требования к исполнителю.
- Согласуем программу
Письменное разрешение, методы, окна, ограничения, данные и порядок остановки.
- Проверяем и разбираем
Подтверждённые наблюдения, приоритеты и обсуждение с технической командой.
- Возвращаемся к исправлениям
Согласованный ретест на конкретной версии и документированный результат.
Стоимость и сроки
Рассчитаем по вашему контуру.
В предложении фиксируем границы проверки, этапы, результат и условия повторной проверки. Изменение объёма обсуждается отдельно.
Получить программу и расчёт ↗Что влияет на оценку
- Число систем, интерфейсов, ролей и интеграций.
- Глубина сценариев и доступность тестового контура.
- Требования к исполнителю, доказательствам и отчётности.
- Окна работ, помощь с исправлениями и объём ретеста.
Ответы перед началом
Можно сразу заказать обязательный банковский пентест?
Сначала необходимо подтвердить применимость требований и квалификацию исполнителя под ваше ТЗ. Эта страница приглашает к согласованию программы и не является подтверждением лицензий, банковского опыта или готовности выполнить любой регулируемый состав.
Заменяет ли отчёт аттестацию или оценку соответствия?
Нет. Это самостоятельные работы с собственными основаниями, процедурами и требованиями. Их состав и исполнителей определяют отдельно.
Что прислать для первого разговора?
Тип организации, общее описание систем и перечень требований к исполнителю или обезличенную выдержку из ТЗ. Пароли, токены, персональные данные и закрытые схемы через публичную форму не передавайте.
Нормативные источники
Справочная редакция на 13 ноября 2026 года. Применимость и актуальный состав требований проверяются для конкретной организации и системы до договора.
Следующий шаг
Начнём с вашей задачи.
Опишите задачу в общих словах. Пароли, токены, персональные данные клиентов и закрытые материалы через эту форму не передавайте.