Техническое задание на аудит безопасности веб-приложения
Практический шаблон запроса подрядчику: объекты проверки, разрешённые методы, требования к отчёту и приёмка исправлений.
Заполните поля в квадратных скобках и отправьте одинаковый запрос нескольким исполнителям. Файл доступен без регистрации и передачи данных.
1. Цель и ответственные
Сформулируйте, какой бизнес-риск нужно проверить и кто вправе согласовать работы.
- Цель: [проверка авторизации / защита личного кабинета / API / иное].
- Ответственный со стороны владельца и контакт для остановки проверки: [роль, канал связи].
- Приоритетные пользовательские сценарии: [вход, платежи, загрузка файлов, изменение прав].
- Документальное разрешение владельца на проверку передаётся до начала работ.
2. Границы и среды
Подрядчики должны оценивать одинаковый объём.
- Домены, поддомены, API, мобильные веб-интерфейсы: [точный перечень].
- Рабочая или тестовая среда, тестовые аккаунты и роли: [перечень].
- Исключения: [системы третьих лиц, продуктивные данные, опасные нагрузки].
- Разрешённое время работ, пределы интенсивности запросов и порядок аварийной остановки.
3. Методика и ограничения
Не подменяйте полноценную проверку автоматическим сканером.
- Согласовать модель угроз, авторизацию, разграничение ролей, бизнес-логику, API и конфигурацию.
- Указать применимый профиль требований OWASP ASVS 5.0.0 и версии ссылок, но не обещать автоматическое покрытие всех пунктов.
- Уточнить ручные проверки, сканирование и условия демонстрации подтверждённых рисков без вреда данным.
- Запретить DoS, эксплуатацию чужих ресурсов и выход за утверждённый периметр без отдельного разрешения.
4. Доказательства и отчёт
Результат — понятный перечень реальных рисков.
- Для каждого наблюдения: затронутая функция, условия, воспроизводимые шаги в безопасной форме.
- Риск и возможное влияние на бизнес; отделять подтверждённые находки от гипотез.
- Рекомендации с приоритетом, ответственным и способом перепроверки.
- Итоговое резюме для руководителя и техническое приложение; безопасный канал передачи материалов.
5. Сроки и приёмка
Зафиксируйте не только дату отчёта, но и критерии результата.
- Даты начала, промежуточного обсуждения критичных находок и сдачи отчёта: [даты].
- Согласовать формат файла, структуру результатов, список проверенных объектов и ограничений.
- Отдельно обозначить, входит ли повторная проверка исправлений, срок и число итераций.
- Критерий приёмки: отчёт соответствует утверждённому периметру и даёт проверяемый план действий.
6. Как сравнивать предложения
Цена сравнима только при одинаковых исходных условиях.
- Одинаковы ли периметр, число ролей, уровень ручной проверки и формат доказательств?
- Кто проводит работы, как подтверждается квалификация, кто имеет доступ к результатам?
- Включены ли повторная проверка, обсуждение отчёта, сроки реакции на критичные риски?
- Что исключено из цены и что потребует отдельного согласования?
Основание для подбора требований: OWASP ASVS 5.0.0. Функции конкретного ПО и правовые требования необходимо уточнять перед договором. Материал актуализирован в октябре 2026 года.
От технического задания к запросу на аудит
ТЗ помогает сравнить предложения, но исполнителю ещё нужны ограничения и формат ответа. Используйте комплект для первого обращения через выбранный вами канал связи с подрядчиком.
Что подготовить перед отправкой
- Определите разрешённые адреса, окружения и временные окна проверки.
- Уточните полномочия согласующего и запрет на действия вне периметра.
- Отдельно запросите методику, требования к доказательствам и проверке исправлений.
- Сравнивайте состав работ, сроки, отчётность и стоимость на одинаковых условиях.
Текст первого обращения
Здравствуйте! Подготавливаем аудит безопасности веб-приложения. Направляем для обсуждения структуру технического задания. Перед началом проверки согласуем точный периметр, разрешённые действия и ответственных. Просим в ответном предложении указать: — состав проверок и используемый подход; — границы, ограничения и необходимые доступы; — формат отчёта, приоритизацию рисков и порядок повторной проверки; — этапы, ориентировочные сроки, стоимость и условия работы; — порядок обращения с полученными данными и их удаления. Просим отдельно обозначить допущения и то, что в предложение не входит. С уважением, [название организации и контактное лицо]
ПрофРитм предоставляет редакционный шаблон, но не принимает этот запрос, не подбирает исполнителя и не передаёт письмо третьим лицам. Отправляйте его выбранному подрядчику самостоятельно. Не прикладывайте пароли, секретные ключи или персональные данные без необходимости и защищённого канала.