Головна / Послуги / Security Assessment

Security assessment

Ваша інфраструктура в чужих сервісах. Ризики залишаються вашими.

Перевіряємо доступи, хмарні сервіси, ролі, акаунти та процеси, які залишаються під контролем вашої компанії.

Для компаній, які працюють через Google Workspace, Microsoft 365, Shopify та інші хмарні сервіси.

Доступи, хмара, процеси

Що вам потрібно насправді

Хто має доступ до ваших даних і робочих акаунтів

Колишній співробітник досі може відкривати спільні файли. Підрядник може мати права адміністратора. Перевіримо, де таке можливо у ваших сервісах.

Assessment доречний, якщо

Ви працюєте на готових сервісах: Google Workspace, Microsoft 365, Shopify, хмарна CRM
Власних серверів немає або їх дуже мало
Основний ризик — доступи, акаунти й процеси, а не код
За безпеку окремо ніхто не відповідає

Краще починати з пентесту, якщо

У вас власний вебзастосунок або API
Є інфраструктура, яку ви контролюєте самі
Потрібно перевірити бізнес-логіку і права доступу в продукті
Клієнт або партнер вимагає незалежне тестування продукту

Подивитися сторінку пентесту →

Обсяг

Що саме оцінюємо

Три напрями, де стається більшість інцидентів у компаній без власної інфраструктури.

Акаунти й доступи

Хто і до чого має доступ

Облікові записи та їх стан
Адміністративні ролі
Багатофакторна автентифікація
Права доступу до даних
Спільні акаунти й паролі

Хмарні сервіси й пошта

Як налаштовано те, чим користуєтесь

Конфігурація Google Workspace / Microsoft 365
Правила пошти та пересилання
Зовнішній доступ до файлів і документів
Сторонні застосунки з доступом до даних
Захист пошти від підробки відправника

Процеси

Що відбувається, коли щось трапляється

Онбординг і офбординг співробітників
Резервні копії та їх реальне відновлення
Реакція на інцидент
Хто і як видає доступи
Що фіксується, а що ніде не лишає слідів

Межі роботи

Що ми не робимо

Ми не тестуємо інфраструктуру Google, Microsoft чи Shopify

Вона вам не належить, і перевіряти її ми не маємо права. Ми оцінюємо те, що контролюєте саме ви: конфігурації, доступи, ролі та процеси у ваших акаунтах.

Саме там і виникає більшість реальних інцидентів: не в самій платформі, а в тому, як вона налаштована та хто в неї має доступ. Обсяг перевірки та рівень доступу погоджуємо заздалегідь.

Процес

Як проходить робота

Короткий дзвінок

Розуміємо, якими сервісами ви користуєтесь, скільки людей у команді і де вже виникали проблеми.

Межі перевірки та доступи

Фіксуємо, що входить у перевірку і який рівень доступу потрібен. Все — з вашим письмовим погодженням.

Перевірка

Дивимось конфігурації, доступи, ролі та процеси. Частину — разом з вами, на екрані.

Звіт з пріоритетами

Що змінити першим, що планово, і що конкретно потрібно натиснути чи переписати.

Розбір і план

Проходимо результати голосом і складаємо порядок дій. За потреби перевіряємо повторно після змін.

Результат

Що ви отримуєте

Перелік проблем з пріоритетами

Не «у вас все погано», а конкретні пункти в порядку важливості.

Конкретні налаштування

Що саме змінити в акаунтах і сервісах — на рівні дій, а не рекомендацій загалом.

Опис процесів, яких бракує

Що варто описати й закріпити, щоб проблема не повернулась через місяць.

Розбір голосом

Проходимо результати разом, відповідаємо на питання вашої команди.

План на першу і другу хвилю

Що робимо зараз, а що можна планувати на наступний квартал.

Повторна перевірка

Після змін дивимось ще раз і фіксуємо, що закрито.

Для кого

Кому це підходить

Агенції та студії

Доступи до клієнтських акаунтів, багато підрядників, швидка зміна людей.

Невеликі SaaS-команди

Продукт у хмарі, інфраструктури майже немає, а даних клієнтів багато.

E-commerce на готових платформах

Shopify та подібні: ризик не в сервері, а в доступах до адмінки.

Клініки та сервісні бізнеси

Чутливі дані, багато співробітників, мало формальних процесів.

Розподілені команди

Люди в різних країнах, особисті пристрої, десятки сервісів.

Компанії без AppSec

Немає окремої людини з безпеки, і потрібно зрозуміти базовий стан.

Хто веде проєкт

Засновник веде кожен проєкт і відповідає за результат

Владислав Краєвський

Керівник команди з кібербезпеки · Засновник Veiltrack

LinkedIn Telegram-канал Про засновника

Я веду assessment і відповідаю за результат: у таких перевірках майже все залежить від правильних питань, а не від інструментів.

Керую командою з кібербезпеки. З 2019 року провів понад 170 пентестів для понад 80 компаній. Працював із безпекою багатьох українських банків і платіжних систем, а також держустанов і правоохоронних органів. Проєкт веде засновник, роботу назовні не передаємо.

Перевіряю системи так само, як це робить реальний зловмисник — зовні, без підказок, без доступу зсередини.

SANS GIAC OffSec CompTIA Cisco

Питання, які ставлять найчастіше

Часті запитання

Чим це відрізняється від пентесту?

Пентест шукає технічні шляхи атаки у продукті або інфраструктурі. Assessment дивиться на доступи, конфігурації хмарних сервісів і процеси — тобто на те, як компанія влаштована, а не на код.

Чи потрібен доступ до наших акаунтів?

Частину перевірок можна зробити разом з вами на екрані, частину — з обмеженим доступом, який ви видаєте на час роботи. Обсяг і рівень доступу погоджуємо заздалегідь і фіксуємо письмово.

Скільки це триває?

Залежить від розміру компанії та кількості сервісів. Орієнтир називаємо після короткого дзвінка, коли розуміємо обсяг.

Що робити з результатами?

Ви отримаєте список з пріоритетами і конкретні зміни, які треба внести. Частину можна закрити силами вашої команди за кілька днів. За потреби перевіряємо повторно.

Інші напрями