Интернет-магазины
защита витрины, корзины, оформления заказа, личных кабинетов, интеграций с платёжными сервисами и доставкой
Электронная коммерция
Информационная безопасность в электронной коммерции
Защищаем интернет-магазины, маркетплейсы, онлайн-сервисы и омниканальных ритейлеров: клиентскую базу, данные заказов и платёжный контур, витрину и мобильное приложение, API и интеграции, личные кабинеты покупателей и партнёров, учётные и складские системы.
Учитываем специфику отрасли: публичный сервис под постоянной автоматизированной нагрузкой, пиковые распродажи, большие объёмы персональных данных и оборотные штрафы за утечки.
Внедряем защиту без остановки продаж и с учётом сезонных пиков: распродаж, рекламных кампаний и роста нагрузки.
Отраслевые сегменты
С кем мы работаем
Интернет-магазин, маркетплейс и B2B-площадка защищают одно и то же по-разному: у первого главный риск — клиентская база, у второго — фрод и боты, у третьего — коммерческие условия контрагентов.
Розничная электронная торговля
D2C-бренды
защита клиентской базы, программы лояльности, мобильных приложений
Омниканальные ритейлеры
защита связки интернет-магазина, кассовых и складских систем, единого клиентского профиля
Платформы и агрегаторы
Маркетплейсы
защита кабинетов продавцов и покупателей, антифрод, защита от ботов и парсинга
Агрегаторы и сервисы сравнения
защита API, интеграций с партнёрами, репутации сервиса
Подписочные и онлайн-сервисы
защита рекуррентных платежей, учётных записей, доступа к платному контенту
B2B-электронная торговля
Электронные торговые площадки
защита торговых процедур, документооборота, учётных записей участников
Порталы поставщиков и дилерские кабинеты
разграничение доступа контрагентов, защита коммерческих условий и прайс-листов
Оптовые онлайн-платформы
защита договорной базы, закупочных цен, данных о складах
Отрасль
Цена утечки теперь зависит от размера базы, а за повторную — от оборота
С 30 мая 2025 года вступил в силу Федеральный закон от 30.11.2024 № 420-ФЗ. Размер штрафа за первичную утечку персональных данных теперь зависит от её объёма, а за повторную утечку введён оборотный штраф — от 1 до 3% годовой выручки компании за предыдущий календарный год.
Для электронной коммерции это меняет расчёт. Клиентская база интернет-магазина — это телефоны, адреса электронной почты, адреса доставки и история покупок сотен тысяч человек. Отрасль обрабатывает одни из самых больших массивов персональных данных в стране, и цена ошибки здесь считается уже не в затратах на восстановление, а в проценте от оборота.
Клиентская база как главный актив и главный риск
Телефоны, адреса, история заказов, платёжные данные. Утечка становится публичной быстро: покупателям начинают звонить мошенники, и источник вычисляется по составу данных.
Постоянная автоматизированная нагрузка
Витрину непрерывно обходят боты: парсинг цен конкурентами, перебор учётных записей, скупка дефицита, накрутка активности.
Пиковые распродажи
Инфраструктура работает на пределе именно тогда, когда каждая минута простоя стоит дороже всего, — и это же лучший момент для DDoS-атаки.
Платёжный контур и сторонние скрипты
Страница оплаты, интеграции с эквайрингом, виджеты аналитики и чатов. Один подменённый сторонний скрипт — и данные карт уходят с формы оплаты.
Фрод внутри собственных механик
Промокоды, бонусные баллы, программы лояльности, реферальные схемы — всё, что можно эксплуатировать без взлома, просто зная логику.
Ключевые риски
От чего мы защищаем
Утечка клиентской базы
Оборотный штраф за повторную утечку, проверки Роскомнадзора, мошеннические звонки покупателям, публичный репутационный кризис.
Атаки на веб-приложение: SQL Injection, XSS и другие
Доступ к базе данных, компрометация приложения, получение контроля над сайтом.
Веб-скимминг и подмена сторонних скриптов
Перехват платёжных данных прямо с формы оплаты, компрометация покупателей без взлома сервера.
Захват учётных записей покупателей: credential stuffing, перебор паролей
Кража бонусных баллов, оформление заказов от чужого имени, доступ к сохранённым данным.
Мошенничество с бонусами, промокодами и скидочными картами
Прямые финансовые потери, искажение экономики программы лояльности.
Боты и парсинг витрины
Утечка ценовой политики конкурентам, скупка дефицитного товара, нагрузка на инфраструктуру.
DDoS-атаки в период распродаж
Недоступность витрины и приложения в пиковый по выручке день.
Атаки на мобильное приложение и API
Компрометация клиентских данных и заказов в обход защиты веб-витрины.
Компрометация кабинетов продавцов и партнёров
Мошеннические операции от имени контрагента, доступ к коммерческим условиям.
Шифровальщики в учётных и складских системах
Остановка отгрузок и приёмки, срыв сроков доставки, потеря заказов.
Доступ к внутренней информации компании
Раскрытие закупочных цен, договоров, отчётов, данных о складах и остатках.
Подмена содержимого сайта
Размещение порочащей информации, подмена цен и условий, ущерб репутации бренда.
Инсайдерские действия
Выгрузка клиентской базы, слив закупочных условий и коммерческих данных.
Нормативный контур
Требования, которые мы помогаем выполнить
Основная регуляторная нагрузка в электронной коммерции связана с персональными данными. После вступления в силу 420-ФЗ вопрос перешёл из категории «формальное соответствие» в категорию «финансовый риск», сопоставимый с крупной статьёй бюджета.
Основная нормативная база: 152-ФЗ, 420-ФЗ от 30.11.2024, 242-ФЗ,
54-ФЗ, ПП РФ № 1119, приказ ФСТЭК № 21. Дополнительно — если
применимо: 187-ФЗ, ПП РФ № 127, приказ ФСТЭК № 239, требования
платёжных систем.
Защита персональных данных покупателей, продавцов, партнёров и сотрудников по Приказу ФСТЭК № 21 и 152-ФЗ
Определение уровня защищённости информационных систем персональных данных по ПП РФ № 1119
Уведомление Роскомнадзора об обработке персональных данных и выполнение обязанностей оператора
Разработка политики обработки персональных данных и полного комплекта организационно-распорядительной документации
Порядок реагирования на инциденты и уведомления Роскомнадзора об утечке: первичное уведомление в течение 24 часов с момента выявления, результаты внутреннего расследования — в течение 72 часов
Выполнение требований по локализации баз данных с персональными данными граждан РФ
Защита платёжных данных с учётом требований платёжных систем — если компания попадает в область их применения
Выполнение требований 54-ФЗ в части защиты информации при применении контрольно-кассовой техники — если применимо
Требования по защите информации, которые предъявляют партнёры: банки-эквайеры, платёжные сервисы, крупные площадки
Подготовка к проверкам Роскомнадзора и ФСТЭК
Этапы проекта
Как мы выстраиваем защиту компании электронной коммерции
Обследуем публичный контур и внутренние системы
Анализируем витрину и мобильное приложение, API и интеграции, платёжный контур и сторонние скрипты, личные кабинеты, учётные и складские системы, доступы подрядчиков и разработчиков.
Определяем, где хранятся персональные данные
Выясняем состав и объём обрабатываемых данных, места хранения и выгрузок, кто имеет к ним доступ, определяем уровень защищённости информационных систем персональных данных.
Моделируем актуальные угрозы
Описываем сценарии: выгрузка базы инсайдером, компрометация приложения через уязвимость, веб-скимминг, перебор учётных записей, эксплуатация логики промокодов, DDoS в распродажу.
Проектируем архитектуру защиты
Защита веб-приложений и API, защита от DDoS и ботов, сегментация публичного и внутреннего контуров, контроль доступа к клиентским данным, DLP, SIEM, EDR, резервное копирование.
Внедряем без остановки продаж
Поэтапно: обследование → пилот → тестовый режим → настройка политик → перевод в промышленную эксплуатацию. Средства защиты сначала работают в режиме наблюдения, чтобы не заблокировать реальные заказы.
Передаём систему в сопровождение
Мониторинг, регламенты реагирования и уведомления регулятора, подготовка к пиковым периодам, обучение сотрудников, поддержка.
Направления работ
Что мы делаем для компаний электронной коммерции
01
Защита витрины и клиентских сервисов
- Защита веб-приложений и API (WAF)
- Защита от DDoS, в том числе подготовка к пиковым распродажам
- Защита мобильных приложений
- Защита от ботов и парсинга витрины
- Защита от account takeover: credential stuffing, перебор паролей, массовая проверка скомпрометированных учётных данных, аномалии входа
- Антифрод и защита бизнес-логики: промокоды, бонусы, возвраты, массовые регистрации, скупка дефицитного товара
- Защита API и интеграций: контроль методов, ограничение частоты запросов, аутентификация сервисов, журналирование, защита webhook-интеграций
- Защита административной панели и платформы интернет-магазина: многофакторная аутентификация, разграничение ролей, журналирование действий, контроль обновлений модулей и зависимостей
- Контроль сторонних скриптов на страницах оформления заказа и оплаты: рекомендации по внедрению CSP и SRI, мониторинг изменений скриптов, контроль доменов их загрузки
02
Защита персональных и платёжных данных
- Защита персональных данных по 152-ФЗ и приказу ФСТЭК № 21
- Определение уровня защищённости информационных систем персональных данных и разработка модели угроз
- Защита от утечек (DLP) и контроль каналов выгрузки данных
- Разграничение доступа сотрудников к клиентской базе
- Разработка организационно-распорядительной документации и политики обработки персональных данных
- Порядок реагирования на утечку и уведомления Роскомнадзора
03
Защита внутренних систем
- Защита учётных, складских и кассовых систем
- Сегментация публичного и внутреннего контуров
- Защита периметра и замена иностранных средств защиты на отечественные
- Безопасный удалённый доступ для сотрудников, подрядчиков и разработчиков (VPN + 2FA)
- Контроль привилегированных пользователей (PAM)
- Резервное копирование и катастрофоустойчивость
04
Проверка защищённости
- Тестирование на проникновение
- Анализ защищённости веб-приложения и мобильного приложения
- Управление уязвимостями
- Контроль обновлений платформы, модулей и зависимостей
05
Мониторинг и реагирование
- Внедрение SIEM и построение SOC
- Защита от целевых атак: песочницы, NTA-системы
- Защита АРМ и серверов: антивирусы, EDR
- Информационная безопасность на аутсорсинг
- Обучение сотрудников основам информационной безопасности
Технологии
Подбираем решения под нагрузку и архитектуру вашей площадки
Подбираем отечественные решения с учётом требований регуляторов и партнёров, наличия сертификатов ФСТЭК для конкретной версии продукта, профиля нагрузки и сезонности, архитектуры площадки и совместимости с действующей инфраструктурой.
WAFPT Application Firewall, SolidWall
Защита от DDoSотечественные операторские и on-premise решения
NGFW / Межсетевые экраныUserGate, Континент, PT NGFW, Ideco
Анализ защищённости приложенийPT Application Inspector
DLPInfoWatch Traffic Monitor, СёрчИнформ КИБ, Стахановец
SIEMMaxPatrol SIEM, Kaspersky KUMA, RuSIEM
EDR / антивирусKaspersky, Dr.Web
PAMIndeed Privileged Access Manager
Защита от APTPT Sandbox, PT NAD
Сканеры уязвимостейMaxPatrol VM, RedCheck, Сканер-ВС
Криптографическая защитаViPNet, КриптоПро, Континент TLS
Резервное копированиеКибер Бэкап, RuBackup
Когда обращаются
В каких ситуациях мы помогаем
Если у вас одна или несколько из перечисленных ситуаций — поможем выстроить защиту, подготовить документы и взаимодействовать с регулятором.
- Произошла утечка клиентских данных или есть подозрение на неё
- Нужно срочно оценить масштаб инцидента и подготовить уведомление регулятора
- Витрина или приложение недоступны из-за DDoS-атак
- Растёт нагрузка от ботов, конкуренты парсят цены, идёт перебор учётных записей покупателей
- Фиксируется мошенничество с промокодами, бонусами или программой лояльности
- Готовитесь к пиковой распродаже и нужно проверить запас прочности
- Требуется привести обработку персональных данных в соответствие с 152-ФЗ
- Получено требование или запрос от Роскомнадзора
- Банк-эквайер или партнёрская площадка предъявили требования по защите информации
- Запускается новая платформа, мобильное приложение или открытое API
- Уволившийся сотрудник мог выгрузить клиентскую базу
- Не хватает внутренних специалистов по информационной безопасности
Результат
Что получает заказчик
По итогам нашей работы вы получаете не «папку с документами», а понятную систему защиты и план её развития:
01
Карту текущего состояния публичного и внутреннего контуров
02
Перечень мест хранения и выгрузки персональных данных, а также лиц, имеющих к ним доступ
03
Определение уровня защищённости информационных систем персональных данных, модель угроз и модель нарушителя
04
Архитектуру защиты витрины, мобильного приложения и API
05
План защиты от DDoS и ботов с учётом сезонных пиков
06
Рекомендации по контролю платёжного контура и сторонних скриптов
07
Модель разграничения доступа сотрудников и подрядчиков к клиентским данным
08
Полный комплект организационно-распорядительной документации по обработке персональных данных
09
Порядок реагирования на инцидент и уведомления Роскомнадзора: 24 часа на первичное уведомление, 72 часа на результаты внутреннего расследования
10
Документальное подтверждение принятых мер защиты — то, чем компания оперирует при разбирательстве с регулятором
11
Рекомендации по подбору отечественных СЗИ и план импортозамещения
12
План внедрения без остановки продаж
13
Сопровождение системы и поддержку при взаимодействии с регуляторами и партнёрами
Наш опыт
Кейс
Защита интернет-магазина и веб-сервисов розничной сети
Задача
Розничной сети требовалось решение для защиты главного портала интернет-магазина и ряда других веб-сервисов компании.
Что сделали
Внедрили систему защиты веб-приложений PT Application Firewall. Основным критерием выбора стало наличие механизмов корреляционного и поведенческого анализа, которые позволяют блокировать атаки нулевого дня, а также защищать от фрода, подбора паролей, вовлечения в ботнеты, DDoS-атак и утечек данных. Дополнительными факторами выбора стали быстрое развёртывание решения и удобная настройка защитных механизмов.
Результат
Выявлено более тысячи попыток атак, в том числе с использованием уязвимостей Shellshock, SQL Injection и XSS, а также попытки подбора паролей, загрузки вредоносного кода и использования сканеров для поиска уязвимостей в веб-приложениях.
Снижены риски, при реализации которых злоумышленники могли бы:
- нарушить доступность сайтов;
- получить доступ к конфиденциальной информации компании: счетам, договорам, отчётам, закупочным ценам, информации о складах, персональным данным сотрудников;
- получить несанкционированный доступ во внутренние информационные системы компании, а также полный контроль над приложением и его исходным кодом;
- атаковать пользователей приложения с целью похищения их учётных данных;
- похитить базу данных клиентов, включая номера телефонов, адреса электронной почты, адреса доставки товара и платёжные данные;
- совершить мошенничество с бонусными баллами и скидочными картами;
- заменить содержимое сайта и разместить порочащую информацию.
Наименование заказчика не разглашается в соответствии с соглашением о конфиденциальности.
Почему мы
Почему IST
- 15 лет на рынке информационной безопасности
- 2 000+ реализованных проектов
- 4+ региона присутствия
- Лицензии ФСТЭК и ФСБ — работаем со сведениями, составляющими государственную тайну, и оказываем услуги по технической защите конфиденциальной информации
- Опыт защиты интернет-магазинов и высоконагруженных публичных веб-сервисов от атак на веб-приложения
- Опыт работы с организациями, где утечка персональных данных недопустима: госсектор, финансовый сектор, здравоохранение
- Полный цикл услуг: консалтинг, аудит, проектирование, внедрение, сопровождение
- Информационная безопасность на аутсорсинг — если держать штатную службу ИБ нецелесообразно
- Команда сертифицированных инженеров по ключевым отечественным решениям
Начать проект
Получить план защиты вашей площадки
Расскажите о задаче — защита витрины и API, защита от DDoS и ботов, антифрод, приведение обработки персональных данных в соответствие с 152-ФЗ, реагирование на инцидент или комплексная защита. Мы проведём первичное обследование и предложим план работ.