Кейс · платёжная платформа транспортного оператора

Программа безопасности на 688 задач — в одном контуре управления

Обследовали код и инфраструктуру платёжной платформы: 16 репозиториев, песочница, контур CI и IaC. На выходе — не отчёт в PDF, а живой портал: находки с критичностью, корпус требований, модель угроз, матрица покрытия и дорожная карта волнами. Ниже — реальная сводка проекта на 26.10.2026.

Что скрыто по NDA

Цифры и структура — настоящие. Название заказчика, ключи задач, имена сервисов, репозиториев и хостов убраны, формулировки находок обобщены.

Срез
26.10.2026, план ред. 4
Сканеры
semgrep, trivy, gitleaks — 13 прогонов
Контур
закрытый: VPN и сессия репозитория
01 / Риск

Начать отсюда: что болит сильнее всего

Первый экран портала отвечает на один вопрос руководителя: сколько открытых критичных и высоких, что их блокирует и с чего начинать.

Находки корпуса01
0открытых критичных и высоких: 51
14критично 37высокая 18средняя 5низкая 1к сведению
Что блокирует02
0
стопоров на пути исправлений
7технических22организационных
Первая очередь03
0
действий, которые нужно сделать до всего остального
Задачи04
0
задач исправления в 44 эпиках
Связи05
0
трассировок требование ↔ задача ↔ находка
Требования06
0
требований SEC-* с источником, проверкой и задачами
Охват07
0репозиториев
11 схем: текущее состояние, цель, потоки, контур сканирования
критичновысокаясредняянизкаяк сведению
02 / Критичные находки

Открытые критичные, с которых начинается очередь

Каждая находка в портале — карточка с состоянием проверки, связанными требованиями, задачей и владельцем. Здесь — шесть критичных и две высоких из 51 открытой, формулировки обобщены.

3
критичных без назначенного владельца на момент среза
8
новых критичных пришли с последней загрузкой
14
критичных всего в корпусе из 75 находок
01
Авторизация отключена на двух публичных API платёжного контура
Шлюз подтверждённо доступен из интернета
критично
02
Пароль служебной учётной записи реестра артефактов в истории git
Секреты, домен «секреты»
критично
03
Транспортный ключ платёжной системы в production-значениях чарта
Секреты, цепочка поставки
критично
04
Идентичность терминала подменяется клиентским заголовком, сертификат не сверяется
Идентификация, периметр
критично
05
Отладчик JDWP без аутентификации в production-чартах трёх сервисов
Кластер, безопасность кода
критично
06
Полный номер карты в событиях шины и межсервисных вызовах
Данные, соответствие
критично
07
Проверка TLS отключена во внешних и внутренних клиентах
Периметр, идентификация
высокая
08
Merge не блокируется красным пайплайном, основная ветка не защищена
Цепочка поставки, CI
высокая
Ещё 8 критичных и 35 высоких — в реестре порталавсего открытых: 51
03 / Домены

Задачи по доменам и критичности

Двенадцать доменов защиты — от данных до агентной разработки. Длина полосы — доля домена в общем объёме, цвета — критичность.

ДоменРаспределение по критичностиВсего
Данныеперсональные и платёжные данные, хранение, логи
108
Периметрвнешние API, шлюзы, TLS
98
Идентификацияаутентификация, роли, сертификаты терминалов
91
КластерKubernetes, чарты, RBAC, сетевые политики
80
Платформабазовые образы, обновления, конфигурация
65
Цепочка поставкиCI/CD, IaC, артефакты, раннеры
65
Наблюдаемостьлоги, метрики, аудит событий
60
Секретыхранилище секретов, ключи, ротация
41
Соответствиетребования регуляторов и платёжных систем
39
Безопасность кодаSAST, зависимости, инъекции
38
Агентная разработкаИИ-инструменты и их доступ к данным
2
CIобщие шаблоны конвейеров
1
критичновысокаясредняянизкаяк сведению

Домен «агентная разработка» появился в ходе проекта: ИИ-стек песочницы передавал данные внешним провайдерам моделей, а конвейер исполнял код ветки с административным доступом к кластеру.

04 / Границы

Что не проверено — и почему

Отчёт без списка ограничений — не отчёт. Портал держит отдельную страницу «Состояние данных»: охват, пробелы и причины, чтобы заказчик знал, где картина неполная.

Реестр образов контейнеров
нет доступа — заявка на доступ открыта
не проверено
Живой срез песочницы
смена стороны VPN в ходе проекта
не проверено
Репозитории группы вне приоритетного прохода
часть репозиториев не охвачена — в приложении к отчёту
не проверено
История репозиториев второго прохода
поиск секретов — только рабочее дерево, история не сканировалась
не проверено
Внешняя доступность публичного шлюза
проверена отдельно 17.10: шлюз доступен из интернета
подтверждено
05 / Портал

Не PDF, а рабочий инструмент

Все материалы проекта живут в одном закрытом портале заказчика. Каждый раздел — отдельный ответ на вопрос «что делать дальше».

Отчёт01

Отчёт обследования

Сканеры, покрытие, находки по критичности, ограничения.

Руководству02

Презентация

Риск, карта инфраструктуры, фазы, стопоры и следующие 30 дней.

Задачи03

Реестр задач

Фильтры по домену, эпику, критичности и волне, поиск и сортировка.

Находки04

Находки и состояние данных

Состояние проверки, уведомления, охват и «не проверено».

Требования05

Корпус SEC-*

Формулировка, источники, способ проверки, связанные задачи.

Угрозы06

Модель угроз и доступа

Каталог угроз с мерами-требованиями, модель ролей.

Матрица07

Покрытие и дорожная карта

Требования ↔ задачи ↔ находки; волны, сроки и владельцы.

План08

План исправления

Тридцать пакетов работ с постоянными якорями и статусами.

06 / Динамика

Портал обновляется из репозитория проекта

Последняя загрузка

Разбор изменений за один срез

Каждая загрузка сравнивается с предыдущей: что добавилось, что изменилось, какие новые критичные требуют владельца и волны.

+24 задачи+19 находок716 записей изменились

Новых критичных — 8. Портал сразу поднимает их в очередь и требует назначить владельца.

Контур управления

Статусы ведёт заказчик, портал только читает

Владельцы, волны и сроки хранятся на стороне заказчика. Пока они не назначены, портал честно показывает «выполнено: 0» и считает, чего не хватает для управления.

688 без владельца330 без волны688 без срока

Это и есть следующий шаг программы: разобрать очередь и раздать первую волну.

Хотите такую же картину по своей инфраструктуре?

Начнём с обследования: инвентаризация, сканеры, интервью. Через несколько недель у вас будет свой портал с находками, требованиями и очередью исправлений.

Обсудить задачу