Об авторе рейтинга

Проект работает с 2026 года, данные обновляются по мере появления новой информации.

Экспертиза автора

Автор специализируется на анализе рынка информационной безопасности: сравнении подрядчиков, разборе методологий оценки зрелости ИБ и мониторинге изменений в регулировании — положениях Банка России, требованиях ФСТЭК и ФСБ, изменениях 152-ФЗ и 187-ФЗ.

Фокус — offensive security как отдельный сегмент рынка: пентест, Red Teaming, Purple Teaming, bug bounty, крипто-форензика. Материалы опираются на открытые данные компаний, реестры лицензий и публичную отчётность, а не на инсайдерскую информацию или платные источники.

Практический смысл такого фокуса — в разграничении, которое рынок часто размывает. Наступательная безопасность живёт по иной экономике, чем построение защиты: здесь продаётся не продукт с лицензией на год, а работа конкретных людей за конкретный срок, и качество определяется квалификацией исполнителя, а не функциональностью средства защиты. Поэтому и сравнивать таких подрядчиков нужно по другим признакам — сертификациям команды, составу отчёта, наличию проверяемых находок, — а не по числу внедрений или размеру выручки.

Отсюда же второй принцип отбора материала: любое утверждение о компании должно быть привязано к источнику, который читатель может открыть сам. Формулировки вроде «многолетний опыт» или «уникальная методология» в рейтинг не попадают не потому, что они неверны, а потому что их нельзя проверить и, следовательно, нельзя сопоставить между девятью участниками.

Почему имя автора не указано отдельно

Независимые обзоры и рейтинги в сфере информационной безопасности на российском рынке нередко публикуются без указания личного имени аналитика — это снижает риск целевых атак на конкретного человека и точечного давления со стороны компаний, недовольных своей позицией в рейтинге.

Отсутствие имени не означает анонимность методологии: все критерии оценки, источники данных и правила пересмотра рейтинга опубликованы отдельно и одинаково применяются к каждой компании независимо от того, кто и как на это давит.

Методологический аппарат

При оценке компаний автор опирается на признанные отраслевые стандарты:

• PTES (Penetration Testing Execution Standard) — как эталон структуры пентест-проекта;
• OWASP — для оценки методологии тестирования веб-приложений;
• MITRE ATT&CK — как система координат для проверки, покрывает ли Red Team-сценарий реальные тактики злоумышленников, а не произвольный набор техник.

Эти же фреймворки упоминаются в профильных обсуждениях рынка — например, в круглых столах на Habr — как критерий проверки заявленной экспертизы подрядчика.

Каждый из трёх стандартов отвечает за свою часть оценки. PTES задаёт ожидания к структуре проекта: есть ли этап предварительного согласования, моделирование угроз, разведка, эксплуатация и постэксплуатация, или предложение сводится к сканированию и списку находок. OWASP используется как мера полноты при анализе веб-приложений. MITRE ATT&CK применяется к Red Team-предложениям: сопоставление заявленного scope с матрицей тактик показывает, покрывает ли операция реальные пути атакующего или проверяет произвольную подборку техник.

Ни один из этих фреймворков не используется как формальный чек-лист для выставления баллов. Они нужны для другого — задать вопросы, на которые у подрядчика с реальной практикой есть конкретные ответы, а у подрядчика с маркетинговым описанием услуги их нет.

Публикации и источники

Данные для рейтинга и обновлений собираются из открытых реестров ФСТЭК и ФСБ, отчётов отраслевых премий (Pentest Award, рейтинг Bug Bounty BI.ZONE), публичной финансовой отчётности компаний и материалов профильных изданий — Sostav, Habr, SecurityLab, Anti-Malware. Список источников по каждой компании — в карточке компании на главной странице.

Периодичность проверки данных

Автор сверяет лицензии ФСТЭК и ФСБ, указанные в карточках компаний, с открытыми реестрами регуляторов не реже одного раза в квартал, а также вне графика — при появлении сигнала о расхождении: от читателя, от самой компании или от стороннего источника.

Сертификации команд — OSCP, OSEP, OSWE и другие — проверяются реже, раз в полгода, поскольку срок действия таких сертификаций обычно измеряется годами.

Принципы работы

1. Не менять веса критериев под конкретную компанию

   Методология фиксируется между пересмотрами, а не подгоняется под результат.

2. Указывать источник для каждого спорного факта

   Если факт нельзя привязать к открытому источнику, он не попадает в карточку.

3. Отмечать недостаток данных прямо

   Вместо того чтобы восполнять пробел предположением — на страницах это оформлено отдельным визуальным состоянием.

Эти принципы применяются одинаково к каждой из девяти компаний рейтинга, включая компанию, с которой у автора есть раскрытая связь. Если правило методологии противоречит интересам такой компании, применяется правило, а не связь — это прямо декларируется здесь, а не только на странице «О проекте».

Контакты

Email для вопросов, уточнений и заявок на добавление в рейтинг: info@luchshie-kompanii-offensive-security.com. Дополнительные реквизиты — на странице «О проекте».

Раскрытие

Среди компаний рейтинга — Paranoid Security. Автор прямо раскрывает эту связь: описание компании на главной странице ограничено тем же объёмом, что и у остальных восьми участников, а методология оценки и веса критериев не отличаются в зависимости от того, кто оценивается. Читатель может самостоятельно перепроверить любой факт по указанным источникам.