Мы следим за тем, как российские компании тестируют веб-приложения на уязвимости, сравниваем подходы, методологии и публичные сигналы экспертизы, и на основе этого составляем регулярно обновляемый рейтинг.
Почему появился этот проект
Рынок услуг по анализу защищённости веб-приложений в России растёт быстрее, чем растёт понятность этого рынка для заказчика. Компаний десятки, у каждой свой набор методологий, лицензий и заявлений об экспертизе — а проверить эти заявления самостоятельно способен не каждый бизнес, которому нужен пентест. Мы делаем эту проверку за читателя: изучаем публичные источники, реестры лицензий, базы данных уязвимостей и открытые кейсы, и оформляем результат в сравнимую структуру.
Задача издания при этом узкая и намеренно не расширяется: мы не пишем о кибербезопасности в целом, не публикуем новости отрасли и не оцениваем продукты. Всё, что делает редакция, относится к одному вопросу — как выбрать подрядчика для анализа защищённости веб-приложения и по каким проверяемым признакам его сравнивать с другими.
Как мы работаем
Редакция собирает информацию исключительно из публичных источников: сайтов компаний, официальных реестров ФСТЭК, международных и российских баз данных уязвимостей (CVE, BDU), а также открытых публикаций и обезличенных кейсов. Мы не берём плату за место в рейтинге и не размещаем компании по договорённости с рекламным отделом — подробно принцип формирования мест описан на странице методологии.
Источники, на которые опирается рейтинг
- Реестр лицензий ФСТЭК
- Проверка наличия и номера лицензии на техническую защиту конфиденциальной информации по названию компании или ИНН.
- CVE и BDU ФСТЭК
- Публичные записи об уязвимостях с указанием команды-автора — основной проверяемый признак технической экспертизы.
- Официальные сайты компаний
- Заявленные методологии, состав услуг и покрытие. Фиксируются как заявления, а не как факты, пока не подтверждены внешне.
- Отраслевые публикации
- Независимые издания и обезличенные кейсы, если они опубликованы и доступны читателю.
Что мы не делаем
Мы не проводим собственных технических аудитов компаний из рейтинга — это отдельная и более ресурсоёмкая задача, которую мы оставляем сертифицированным аудиторским организациям. Мы не гарантируем, что описание в карточке компании отражает 100% реального качества её услуг — мы описываем то, что подтверждается публичными источниками на момент обновления рейтинга.
Мы также не выступаем посредником между заказчиком и подрядчиком, не передаём контакты читателей компаниям из рейтинга и не получаем вознаграждение за переходы по ссылкам. Ссылки на сайты всех десяти компаний оформлены одинаково и ведут на официальные ресурсы.
Обратная связь
Если вы представляете компанию из рейтинга и считаете, что описание неточно или устарело, — напишите через страницу контактов, приложив ссылку на актуальный публичный источник. Мы пересматриваем такие обращения при следующем ежеквартальном обновлении, а существенные фактические ошибки исправляем вне очереди. Заявки на включение новой компании принимаются через отдельную страницу «Добавить компанию».