Сканеры уязвимости

Платформа AppDetectivePro использует преимущества базы знаний SHATTER, которая представляет собой самый полный в отрасли пакет проверок контроля баз данных, их уязвимостей и неверных конфигураций, проводимых с целью предоставления наиболее всестороннего анализа баз данных.

Система AppDetectivePro является стандартом проведения оценки уязвимостей с момента выхода продукта на рынок в 2002 году. Платформа, управляемая интеллектуальным механизмом сканирования, разработанным на основе настраиваемой политики, идентифицирует проблемы в процессе контроля баз данных, включая счета по умолчанию или ненадежные пароли, отсутствующие обновления, неэффективный контроль доступа и др. Гибкая методика оценки позволяет выбирать между режимом сканирования базы данных «снаружи-внутрь» («точка зрения хакера»), не требующим регистрационных данных, или более подробным режимом «изнутри-наружу», управляемым через учетную запись базы данных, доступную только для чтения.

Платформа AppDetectivePro включает в себя встроенные шаблоны для выполнения требований по использованию передовых методов обеспечения безопасности, а также различных нормативных требований. Предусмотренные стандарты выполнения включают: DISA STIG, NIST 800-53 (FISMA), CIS Security Benchmark, PCI DSS, HIPAA, GLBA, Sarbanes-Oxley, ISO 27001, CoBIT и канадский MITS.

Комплексная защита корпоративных приложений

Решение HP Fortify, разработанное для максимально эффективной защиты программного обеспечения, предоставляет непревзойденные возможности в двух основных областях:

• Тестирование ПО — обнаружение уязвимостей за меньшее время и с меньшими усилиями независимо от того, где было разработано приложение
• Безопасный жизненный цикл разработки — сотрудничество с разработчиками и поставщиками для быстрого устранения уязвимостей в развернутом ПО и гарантии безопасности будущих приложений с самого начала их разработки

Тестирование программного обеспечения с помощью HP Fortify

• Точная оценка безопасности приложений
  
  Тестирование безопасности с помощью HP Fortify помогает быстро получить точное представление о рисках в приложениях — как разработанных собственными силами, так и полученных от поставщиков. Решение дает широчайшие возможности тестирования, в числе которых:
  • Статический анализ, также известный как статическое тестирование безопасности приложений (SAST), доступное в HP Fortify Static Code Analyzer (SCA)
  • Динамический анализ, также известный как динамическое тестирование безопасности приложений (DAST), доступное в HP WebInspect.
• Максимальная эффективность
  
  HP Fortify является первым в отрасли решением, значительно повышающим точность и масштаб динамического и статического тестирования с помощью гибридного анализа в режиме реального времени. Уникальная технология HP Fortify SecurityScope объединяет проверку уязвимостей HP WebInspect с превосходным охватом приложений и анализом на уровне кода HP Fortify SCA. В итоге повышается релевантность результатов, что позволяет выявлять больше наиболее актуальных проблем и решать их быстрее, поскольку теперь клиент точно знает их причину и местонахождение в исходном коде.
• Анализ угроз
  
  Киберпреступники ежедневно занимаются поиском новых уязвимостей в программном обеспечении. Чтобы противостоять их изобретательности, требуется постоянный глубокий анализ проблем и рисков, связанных с безопасностью приложений. Все средства тестирования HP Fortify используют новейшую систему анализа угроз, которую поддерживает HP Fortify Security Research Group (SRG), крупнейшая в мире команда специалистов по изучению уязвимостей бизнес-систем.

Обеспечение безопасного жизненного цикла разработки с помощью HP Fortify

• Систематичное устранение рисков в программном обеспечении предприятия
  
  Решение HP Fortify предлагает универсальные компоненты безопасного жизненного цикла разработки, обеспечивающие все необходимое для того, чтобы команды разработчиков и сторонние поставщики могли эффективно устранять риски во всех приложениях, как уже развернутых, так и находящихся в стадиях разработки или планирования.
• Управление корректирующими мерами
  
  Благодаря HP Fortify различные группы специалистов по безопасности и разработке могут работать как единое целое, осуществляя приоритизацию, устранение, отслеживание, проверку и управление уязвимостями в развернутом ПО. Наборы инструментов для совместной работы и аудита позволяют ключевым сотрудникам применять воспроизводимые автоматизированные процессы для более быстрого и экономически эффективного решения проблем. Более того, скорость реализации корректирующих мер возрастает, поскольку эти инструменты интегрируются с широко используемыми средами разработки (IDE), средствами контроля качества (QA) и системами отслеживания ошибок.
• Проактивное управление безопасностью программного обеспечения
  
  Решение HP Fortify дает возможность обеспечить безопасность всех связанных с программным обеспечением процессов. Его централизованные инструменты и предварительно определяемые шаблоны помогают автоматизировать и организовывать различные действия, необходимые для реализации политик обеспечения безопасности приложений и лучших методик уже на самых ранних стадиях разработки новых программ и на каждом этапе их жизненного цикла. Кроме того, он ведет записи обо всех действиях, связанных с безопасностью ПО, помогая создать систему ознакомления с аспектами безопасности в масштабах всей организации.

Максимальная окупаемость инвестиций

HP Fortify предоставляет значительные преимущества, помогая писать более безопасные коды, повышать производительность, сокращать затраты, защищать данные и более эффективно управлять всеми действиями по обеспечению безопасности ПО. Вместе с продуктами HP Enterprise Security предлагаются комплексные услуги, которые позволят получить максимум этих и других выгод, воспользовавшись опытом обеспечения безопасности приложений HP у тысяч заказчиков.

• Консалтинговые услуги
  • Оценка безопасности и рисков
  • Стратегия и планирование обеспечения безопасности ПО
  • Разработка плана реализации SSA
  • Внедрение безопасного процесса разработки
• Обучение и повышение квалификации
  • Обучающие программы по аспектам безопасности и написанию безопасных кодов
  • Электронные обучающие курсы по обеспечению безопасности приложений
  • Семинары для команд разработчиков
  • Электронные обучающие курсы по продуктам HP Fortify

В HP Quality Center включены средства организации и проведения тестирования вручную.

Продукт представляет собой трехзвенную систему, состоящую из базы данных, сервера приложений и «толстого» клиента — надстройку для браузера. База данных может быть размещена в файловой системе либо в уже существующей СУБД (например, MS SQL Server, Oracle). При этом создается отдельная база данных (в Oracle — схема) для настроечной информации и метаданных и отдельная база данных для каждого проекта.

HP Quality Center поддерживает множество операционных систем, серверов приложений и серверов баз данных: Windows, RedHat Linux, Solaris, SUSE Linux, AIX.

В поставку HP Quality Center входит также сервер приложений JBoss.

• Описание продукта
• Преимущества продукта
• Лицензирование
• Техническая поддержка
• Дополнительные материалы

Описание продукта

Интуитивный интерфейс и интерактивные результаты тестов позволят легко разобраться с продуктом даже новичкам в области безопасности и быстро реализовать все преимущества HP WebInspect. Помимо обнаружения уязвимостей HP WebInspect поможет также устранить уязвимости благодаря большой базе знаний, в которой можно найти рекомендации и примеры безопасного кода. В свою очередь, мощная система построения отчетов позволяет получить подробную информацию по любым аспектам состояния безопасности web-приложений, в том числе и отчеты на соответствие международным стандартам, например, таким как PCI DDS. База данных уязвимостей HP WebInspect регулярно пополняется, что дает возможность обнаруживать самые последние уязвимости до того, как ими воспользуются злоумышленники.

Преимущества продукта

Поддержка самых современных технологий

Большинство подобных решений созданы для анализа простого статичного кода и не могут справиться с современными Web 2.0 приложениями. HP WebInspect позволяет оценивать приложение целиком вне зависимости от архитектуры или использованных технологий.

Возможности HP WebInspect включают:

• JavaScript/Ajax. Комплексные клиентские JavaScript приложения серьезно изменили подход к оценке безопасности приложений. HP WebInspect позволяет отслеживать и протоколировать то, как приложение будет работать с точки зрения пользователя, а также анализировать запросы к серверу и затем на основании полученной информации проводить атаки на сервер для обнаружения уязвимостей.
• Adobe Flash. HP WebInspect — это первое решение на рынке, способное анализировать уязвимости в приложениях, использующих Adobe Flash. HP WebInspect обнаруживает SWF-файлы, декомпилирует их и производит статический анализ полученного кода, обнаруживая уязвимости, в том числе небезопасное программирование, небезопасное внедрение приложения, нарушение рекомендаций Adobe и раскрытие информации.

Не только обнаружение, но и устранение уязвимостей

С интуитивно понятным интерфейсом HP WebInspect даже новичок в области безопасности может быстро провести полностью автоматизированную оценку web-приложения. HP WebInspect не просто обнаруживает уязвимости, которые кто-то другой должен устранить. Он также предоставляет информацию, необходимую для воспроизведения и устранения проблемы, в интерактивном режиме. При кооперации с решениями HP Fortity и интеграции с HP Quality Center или HP Application Lifecycle Management первоклассная база знаний HP WebInspect предоставляет полную информацию по обнаруженной уязвимости, описывает возможные последствия использования данной уязвимости злоумышленником, а также дает рекомендации и примеры кода, необходимые для того, чтобы быстро выявить и исправить проблему.

Интегрированная система построения осмысленных отчетов

HP WebInspect обладает самой совершенной системой построения отчетов, доступной на рынке, что дает возможность строить отчеты как для профессионалов в области безопасности, так и для совета директоров, для которых уязвимость в приложениях является достаточно абстрактным понятием. Помимо уже готовых шаблонов и форм отчетов возможно создавать свои отчеты быстро и просто благодаря удобному дизайнеру отчетов. При этом данные для отчетов могут поступать как из самого HP WebInspect, так и из внешних источников.

Полноценная база знаний

Вместе с ростом количества атак на web-приложения вводятся новые требования со стороны государства, отрасли или руководства компании к обеспечению безопасности. А разработчики технологий дают свои рекомендации по безопасному написанию приложений и устранению уязвимостей. Уследить за всеми требованиями и рекомендациями очень непросто. Но с HP WebInspect это стало возможно благодаря обширной и регулярно пополняемой базе знаний, встроенной в приложение. В комбинации с возможностями HP WebInspect по составлению отчетов это позволяет получить детальную информацию не только по степени соответствия требованиям, но также и рекомендации по улучшению текущего положения. А при обнаружении уязвимостей можно получить рекомендации по их устранению с примерами безопасного кода и лучшими практиками, сформулированными разработчиком.

HP Web Security Research Group

HP Web Security Research Group — это команда ведущих исследователей IT-безопасности. Благодаря их исследованиям выходят регулярные обновления для продуктов HP, содержащие самые свежие уязвимости.

Лицензирование

HP WebInspect лицензируется по количеству пользователей. Различаются две глобальные категории лицензий:

• Временные лицензии, работающие определенный срок: 1, 6, 12 месяцев. В данной категории существуют подтипы лицензий:
  • Лицензии для компаний-консультантов по безопасности. Данные лицензии предназначены для оценки состояния безопасности приложений конечного пользователя сторонними компаниями. В данном случае лицензии приобретает именно компания-консультант (предусмотрены варианты на 1 и 12 месяцев, лицензии бывают только именные)
  • Лицензии для конечных пользователей. Данные лицензии приобретает компания-конечный пользователь для использования на своей инфраструктуре. То есть эти лицензии нельзя использовать для оказания услуг сторонним компаниям (предусмотрены варианты на 6 и 12 месяцев, лицензии бывают как именные, так и плавающие)
• Постоянные лицензии, имеющие неограниченный срок использования. Данные лицензии предусмотрены исключительно для компаний-конечных пользователей существуют как именные, так и плавающие лицензии

Функциональные возможности различных категорий лицензий идентичны.

Техническая поддержка

К лицензиям обязательно требуется приобретать техническую поддержку минимум на 1 год. Она дает право на получение обновлений и переход на новые версии продуктов без дополнительной платы. Также техподдержка позволяет обращаться в службу поддержки HP для разрешения проблем. Техподдержка существует двух видов:

• 9х5 — техподдержка по будним дням в рабочие часы
• 24х7 — круглосуточная техподдержка по любым дням, включая выходные и праздничные дни

Техподдержка к временным лицензиям уже включена в стоимость лицензии.

Дополнительные материалы

Ознакомительная версия HP WebInspect

Система контроля защищенности и соответствия стандартам. Позволяет получать объективную оценку состояния защищенности всей информационной системы и отдельных подразделений, узлов и приложений. Механизмы тестирования на проникновение (Pentest), системных проверок (Audit) и контроля соответствия стандартам (Compliance) в сочетании с поддержкой анализа различных операционных систем, СУБД и веб-приложений обеспечивают непрерывный мониторинг безопасности на всех уровнях информационной системы.

Единый инструмент для согласованности результатов

Механизм оценки уязвимостей и настроек MaxPatrol не требует установки программ-агентов на удаленных системах и предоставления повышенных привилегий, а также не вмешивается в работу информационной системы. Преимущество MaxPatrol — самое низкое число ложных срабатываний в отрасли.

Разноуровневая система отчетности для целостного понимания

Получайте отчетность, которая дает полное представление о реальной защищенности всех сегментов ИТ-инфраструктуры компании.

Стандартные настройки для формализации процессов

Используйте встроенные в MaxPatrol политики безопасности, чтобы оценить соответствие вашей системы основным стандартам (ISO 27001/27002, SOX, PCI DSS, NIST и CIS). Настройте специальные политики для контроля выполнения собственных корпоративных правил безопасности.

Основные функции решения:

— Инвентаризация IT-инфраструктуры (MaxPatrol 8);

— Выявление уязвимостей и контроль их устранения (MaxPatrol 8);

— Оценка соответствия стандартам (MaxPatrol 8);

— Анализ событий безопасности и выявление инцидентов (MaxPatrol SIEM);

— Обнаружение кибератак на сетевом уровне (PT Network Attack Discovery);

— Выявление и блокировка вредоносного ПО (PT MultiScanner);

— Управление инцидентами («ПТ Ведомственный центр»);

Взаимодействие с НКЦКИ («ПТ Ведомственный центр»)

RedCheck позволяет:

• Повысить эффективность деятельности служб безопасности и IT-подразделений
• Снизить издержки на управление безопасностью
• Обеспечить непрерывный мониторинг защищенности корпоративной сети

Ключевые преимущества

Сокращение расходов и объема работ по мониторингу защищенности сети

Программа оперативно выявляет проблемы несоответствия политикам безопасности, связанным с наличием уязвимостей, несвоевременной установкой критичных обновлений, несанкционированного изменения настроек параметров безопасности, установкой запрещенных программ, изменения состава аппаратных средств.

Программа имеет понятный графический интерфейс, не предъявляет высоких требований к подготовке пользователя при установке и использовании.

Совмещение консоли и служб сканирования на одном компьютере (сервере) позволяет легко разворачивать программу при проведении однократных процедур аудита.

Интеграция с Active Directory обеспечивает удобный и гибкий процесс развертывания и контроля в доменных сетях.

Достоверность и прозрачность результатов проверок

Контроль изменения конфигураций программного аппаратного обеспечения сети с помощью дифференциальных отчетов.

Аудит соответствия произвольным требованиям безопасности, а также возможность использования унифицированного SCAP-контента сторонних вендоров: Microsoft, Red Hat, McAfee, eEye и др. — при помощи встроенных полнофункциональных интерпретаторов OVAL и XCCDF.

Возможность глубокого анализа результатов контроля, определения причин и способов выявления уязвимостей благодаря открытому описанию контента безопасности (уязвимостей, обновлений, конфигураций).

Оптимизация бизнес-среды

Получение сведений о защищенности информационной системы с необходимой периодичностью.

Снижение требований к квалификации персонала, отвечающего за информационную безопасность.

Применения эффективных и проверенных политик безопасности (Best practices).

Сокращение объема используемых ресурсов благодаря невысоким требованиям RedCheck к аппаратному и программному обеспечению.

Снижение генерируемого трафика и распределение нагрузки на хосты при сканировании с использованием агентной технологии.

Пригодность для работы в изолированных сетях без доступа к сетям общего пользования (Интернет).

Лицензирование

Программа устанавливается на одну машину (сервер), в т.ч. виртуальную. Лицензируется по количеству сканируемых IP-адресов с одной консоли управления RedCheck. Лицензия на программу срочная, по умолчанию срок лицензии составляет 1 год. В последующем по запросу лицензия может быть продлена. В течение действия лицензии пользователю предоставляется техническая поддержка, доступ к актуальному контенту безопасности и обновлениям программ для данной версии.

Ключевые особенности

• Очень простое в установке и удобное в использовании решение
  
  Для установки безопасного соединения достаточно поместить несколько компонентов на форму, а также указать адрес сервера и пользовательское имя.

• Устойчивая защита против разнообразных крипто-атак

• Кроссплатформенное решение для Delphi и C++Builder
  
  Библиотека компонентов SecureBridge объединяет кроссплатформенные решения для разработки приложений на базе RAD Studio, Delphi, C++Builder, Lazarus (FPC) для Windows (x86 и x64), Mac OS X, iOS, Android, Linux и FreeBSD.

• Поддержка протоколов SSH2, SSL 3.0 и TLS 1.0

• SSH-сервер
  
  Высокопроизводительный сервер SSH с широкими возможностями для установки соединения и управления пользователями. Сервер SSH работает с различными типами клиентов SSH, таких как OpenSSH, PuTTY и пр. Число одновременно подключенных клиентов ограничивается только ресурсами системы.

• SSH-клиент
  
  Использование компонента TScSSHClient, представленного SSH-клиентом SecureBridge, позволяет работать с различными SSH-серверами, такими как OpenSSH и WinSSHD. Он также позволяет достичь высокой производительности за счет подключения параметров управления. SSH-клиент объединяет несколько незащищенных каналов от клиента к серверу в одно защищаемое соединение. Логические каналы могут существовать в разных потоках.

• SFTP-сервер
  
  В дополнение к возможности использования SFTP-клиента для безопасной загрузки файлов, вы также получаете возможность создавать собственный SFTP-сервер, используя компоненты TScSFTPServer.

• SFTP-клиент
  
  SecureBridge SFTP-клиент передает файлы и предоставляет безопасный доступ к файловой системе.

• SSL-клиент
  
  SecureBridge SSL-клиент проверяет сертификат сервера и шифрует/дешифрует данные, передаваемые по сети. SSL-клиент может работать с другими приложениями через протоколы SSL 3.0 и TLS 1.0.

Основные характеристики приложения Log & Event Manager

• Сбор, обобщение и анализ записей журналов регистрации и событий приложений из устройств безопасности и связанных с обеспечением безопасности приложений

• Анализ активности для распознавания атак в реальном времени

• Поддержка анализа источника проблемы с помощью встроенной оперативной аналитики, применяемой в отношении сетей, приложений и управления безопасностью

• Блокировка и изоляция вредной и подозрительной активности, в том числе использование не по назначению портов USB

• Обеспечение углубленного анализа и расширенная поддержка соответствия нормативным требованиям с помощью встроенного средства мониторинга File Integrity Monitoring (FIM)

• Быстро и легко готовит отчеты по соответствию требованиям стандартов HIPAA, PCI DSS, GPG 13, SOX и многих других нормативных документов

SolarWinds Server & Application Monitor поддерживает свыше 150 приложений, гипервизоров (VMware и Hyper-V) и операционных систем (Windows, AIX, UNIX, Solaris и Linux). Скачайте полный список доступных для нативного мониторинга  приложений (web-серверы, серверы Java-приложений, базы данных, почтовые серверы, каталоги и аппаратное серверное обеспечение). Также можно расширить базовые возможности мониторинга путем установки пользовательских шаблонов из сообщества Thwack (несколько сотен различных шаблонов).

5 главных причин использовать Server & Application Monitor

1. Самостоятельное развертывание менее чем за час
   
   Простота инсталляции, использования и управления. Автоматизированный функционал обзора приложений и серверов позволяет начать мониторинг в течение нескольких минут.

2. Мониторинг состояния и управление серверами популярных производителей
   
   Исследование ключевых параметров серверного оборудования ведущих производителей: HP ProLiant, Dell PowerEdge, IBM System x, блейд-серверы, хосты VMware ESX/ESXi с протоколами SNMP, WMI, CIM и VMware API.

3. Расширенный менеджмент и мониторинг производительности приложений
   
   Управление статусами и параметрами рутинных заданий по расписанию и предоставление в режиме реального времени обзора всех заданий по приложениям и серверам.

4. AppInsight for Exchange
   
   AppInsight for Exchange автоматизирует рутинные операции по сбору данных (больше не надо запускать десятки и сотни скриптов PowerShell) и предоставляет сервис уведомлений и панели управления с ключевыми метриками производительности Exchange

5. AppInsight for SQL
   
   AppInsight for SQL обеспечивает глубокий обзор производительности SQL Server для сисадминов, разработчиков и администраторов баз данных SQL.

Основные преимущества Server & Application Monitor

• Пороговые величины статистических параметров и расширенная система уведомлений
• Мониторинг заданий из расписания Windows
• Обзор web-сервисов и управление SaaS и внешними приложениями
• Обзор логов событий Windows по приложениям, безопасности, системным сбоям и DNS
• Исправление проблем производительности серверов (запуск и остановка сервисов, удаление неотвечающих процессов, перезугрузка)
• Панель менеджмента IT-активов — аппаратного и программного обеспечения
• Масштабируемость на уровне корпоративной инфраструктуры до тысяч конечных пользователей
• Интуитивный web-интерфейс с функциями настройки, интерактивности и детализации данных
• Динамические группы сервисов для мониторинга распределенных или составных приложений
• Расширенные шаблоны мониторинга и руководства по проведению оптимального исследования
• Связь с материалами сообщества через интерактивную web-консоль для скачивания и обмена шаблонами и сценариями напрямую из самого Server & Application Monitor
• Обзор всех процессов (а также неисследуемых в данный момент) в реальном времени
• Модулирование пользовательской активности при работе с очередями SQL, DNS и FTP
• Центральная консоль событий со всеми уведомлениями, логами, прерываниями и другими событиями
• Отчетность о производительности и потенциальных возможностях
• Интеграция с System Center Operations Manager (SCOM) 2012
• Интеграция с Microsoft Active Directory
• Возможность просматривать всю информацию через мобильные устройства iPhone, Blackberry и Android
• Гибко настраиваемый механизм мониторинга пользовательских приложений, включая сервисы, процессы, порты, скрипты, счетчики производительности WMI и сценарии для инструментов с открытым исходным кодом сторонних разработчиков

Расширения для Server & Application Monitor

• Enterprise Operations Console (EOC)
  
  Данный инструмент предоставляет консолидированный командный центр для единого обзора сетевых структур географически удаленных филиалов и подразделений предприятия.

• Additional Polling Engines
  
  Дополнительные обработчики для поллинга для распределения общей нагрузки между несколькими серверами для масштабируемости в больших инфраструктурах.

• Failover Engine (FoE)
  
  Данный продукт осуществляет мониторинг состояния серверов SolarWinds и в случае сбоев или аварий автоматически восстанавливает работу на запасном сервере.

• Web Server Engine
  
  Добавление дополнительного web-сервера позволяет предоставить доступ большому количеству пользователей к панелям управления и отчетам на портале SolarWinds без понижения производительности.

XSpider отличается широким покрытием программного обеспечения информационных систем, включая различные ОС (Windows, *nix, Mac OS), СУБД, сетевые устройства, АСУ ТП. Сканер выявляет уязвимости как системного, так и прикладного ПО, проводит анализ веб-приложений. Система работает удаленно, никаких агентов и дополнительного ПО на проверяемые узлы ставить не требуется. Во время сканирования заметной нагрузки на проверяемый узел не создается.

Возможности:

• Контроль изменений на сканируемых узлах.
• Инвентаризация всех сетевых устройств в организации.
• Использование эвристического метода определения типов и имен сервисов (HTTP, FTP, SMTP, POP3, DNS, SSH и др.) даже на нестандартных портах.
• Обработка RPC-сервисов (Windows и *nix) с полной идентификацией, включая точное определение конфигурации компьютера.
• Проверка слабости парольной защиты.
• Глубокий анализ веб-сайтов, включая проверку на уязвимости SQLi, XSS.
• Анализ структуры HTTP-серверов для поиска слабых мест в конфигурации.
• Расширенная проверка узлов под управлением Windows.
• Проведение проверок на нестандартные DoS-атаки.

Основные сферы применения:

1. Государственные учреждения. В приказе ФСТЭК России от 11.02.2013 № 17 прописана необходимость использования сертифицированных ФСТЭК средств анализа защищенности в государственных информационных системах.
2. Промышленность. Вследствие активного подключения промышленных систем управления к Интернету большинство атак на эти системы основаны на таких уязвимостях, как слабые пароли и незащищенные протоколы связи. Сканнер позволяет выявить эти уязвимости задолго до атаки.
3. Банки и финансовые организации. Большое количество критически важных приложений (ДБО, банковские системы, CRM, приложения для трейдинга) должны соответствовать стандартам безопасности данных индустрии платежных карт PCI DSS и регламентирующих органов. Это напрямую предписывает необходимость регулярного сканирования сетей организации на уязвимости.
4. Медицина, образование. Приказ от 18.02.2013 № 21 обязывает использовать сертифицированные средства анализа защищенности при работе с персональными данными.
5. Телеком-операторы. Имеют множество различных приложений, включая порталы самообслуживания, мобильные и облачные приложения. Они также должны использовать сертифицированные ФСТЭК России средства анализа защищенности при работе с персональными данными.