СICADA8
Cyber Rating

Платформа для оценки и управления киберрисками третьих сторон (TPRM): контрагентов, поставщиков, подрядчиков и дочерних организаций. Продукт работает в двух контурах. Первый — автоматический скоринг защищённости внешнего периметра компании по открытым данным. Второй — интеллектуальный аудит внутренних процессов через умные опросные листы (анкеты), где загруженные контрагентом документы и выгрузки автоматически анализирует ИИ по контролям информационной безопасности. На выходе — понятный количественный рейтинг безопасности и набор сигналов по каждой организации. Это помогает заранее понять, с кем безопаснее работать, какие подрядчики несут повышенный киберриск и что нужно учесть до заключения договора или подключения к бизнес-процессам.

Атака на поставщика или подрядчика часто становится точкой входа в основную компанию — это классический риск цепочки поставок (supply chain). Угроза может прийти через предоставленные доступы, интеграции, обмен данными, ИТ-сервисы, подрядные работы и общие бизнес-процессы. Cyber Rating помогает заранее увидеть потенциально проблемных партнёров, контролировать изменения их уровня защищённости и снижать вероятность инцидентов, источником которых становятся третьи стороны.

По внешнему периметру: внешние уязвимости, небезопасные настройки сервисов, проблемы с TLS-сертификатами, открытые управляющие интерфейсы, признаки сетевых недостатков, попадание в спам- и репутационные базы, индикаторы утечек учётных данных и корпоративной информации, а также связи и аффилированность между юрлицами. По внутренним процессам (через интеллектуальный аудит): зрелость резервного копирования, реагирование на инциденты, обработка персональных данных, требования ИБ к подрядчикам в договорах, управление уязвимостями. В сумме это даёт объёмную картину рисков по контрагенту — и по тому, как он выглядит снаружи, и по тому, как у него устроены процессы.

Рейтинг — это число от 0 до 10, где выше значит лучше, с пятью уровнями: «Критично», «Неудовлетворительно», «Требует внимания», «Допустимо» и «Отлично». Итоговая оценка складывается из трёх групп критериев с разным весом: потенциальные внешние уязвимости, внешние сетевые недостатки и потенциальные утечки. Каждая группа раскладывается на подкритерии, поэтому рейтинг не «чёрный ящик» — видно, из чего он собран и что именно тянет оценку вниз. Для внутреннего аудита каждый контроль получает свой статус, оценку и рекомендацию. Методика оценки опубликована и доступна для ознакомления.

Cyber Rating не выполняет активного сканирования инфраструктуры контрагента — никаких обходов портов, эксплойтов или попыток подбора доступа. Платформа ведёт неинвазивный сбор открытых данных: публичные DNS- и WHOIS-записи, TLS-сертификаты из Certificate Transparency, репутационные базы IP, агрегацию CVE по версиям ПО и индикаторы ранее опубликованных утечек — без доступа к содержимому самих данных. Все эти источники относятся к общедоступной информации (ст. 7 149-ФЗ), поэтому согласие владельца ресурса не требуется; персональные данные при внешнем скоринге не обрабатываются — мы работаем с метаданными инфраструктуры юрлица. По сути, мы видим контрагента так же, как его видит любой внешний злоумышленник в интернете, но нормализуем, обогащаем и связываем эти данные в рамках своей методики.

Для внешнего скоринга — нет. Оценка строится на открытых данных, поэтому проверить можно практически любую организацию по её домену или реквизитам, без подключения к её системам и без её участия. Углублённый интеллектуальный аудит внутренних процессов проводится уже с участием контрагента: он заполняет анкету и загружает документы, которые анализирует ИИ. Таким образом, есть два режима — быстрая внешняя оценка без участия контрагента и более глубокая совместная оценка, когда нужна детализация по процессам.

Классический аудит ИБ — это глубокая разовая проверка силами экспертов: выезд, ручной анализ систем, документов и процессов, проверка на соответствие требованиям. Он точный, но дорогой, долгий и плохо масштабируется на десятки и сотни контрагентов. Cyber Rating решает другую задачу — непрерывную и масштабируемую оценку киберрисков третьих сторон. Он сочетает два контура: автоматический скоринг защищённости внешнего периметра по открытым данным и структурированную оценку внутренних процессов через умные анкеты, где загруженные документы проверяет ИИ по контролям ИБ. В результате вы получаете понятный рейтинг и набор сигналов по каждому поставщику — быстро, регулярно и в едином окне. Cyber Rating не заменяет глубокий аудит там, где он действительно нужен, но позволяет покрыть оценкой всех контрагентов и точечно отправлять на полный аудит только тех, кто этого требует.

Рейтинг кибербезопасности поставщиков полезен ИБ-командам, ИТ-директорам, специалистам по закупкам, юристам, комплаенс-специалистам и руководителям бизнес-направлений. ИБ получает данные для оценки сторонних рисков; закупки и юристы — дополнительный аргумент при выборе подрядчика; руководство — понятную картину рисков перед началом сотрудничества. Это особенно важно для компаний с большим количеством поставщиков, интеграторов, SaaS-сервисов и подрядчиков с доступом к данным.

Да. Продукт подходит не только для разовой проверки, но и для регулярного мониторинга изменений уровня защищённости контрагентов. Это важно, потому что состояние внешних активов поставщика меняется: появляются новые сервисы, истекают сертификаты, открываются небезопасные интерфейсы, всплывают новые утечки или сетевые проблемы. Мониторинг в динамике помогает не ограничиваться проверкой «на старте» сотрудничества и быстрее реагировать на ухудшение рейтинга.

Результаты применяют при выборе поставщика, комплаенс-проверке, пересмотре договорных условий, управлении библиотекой контрагентов и контроле сторонних ИТ-рисков. Рейтинг и выявленные сигналы помогают решить, нужен ли дополнительный аудит, ограничения доступа, требования к устранению недостатков или усиленный мониторинг. Такой подход делает оценку поставщиков прозрачной и снижает риск решений, принятых только на основании коммерческих условий.