Как добавить компанию в рейтинг offensive security

Кто может подать заявку

Подать заявку может любая компания, которая специализируется на offensive security — пентесте, Red Teaming, Purple Teaming, bug bounty или крипто-форензике — и работает на рынке России и СНГ. Заявка не гарантирует включение: компания должна соответствовать критериям ниже и пройти ту же методологию оценки, что и уже включённые участники.

Рассмотрение заявок ведёт тот же автор, что составляет и обновляет рейтинг — контакты и раскрытие интересов см. на странице «Об авторе».

Зачем компании попадать в рейтинг

Рейтинг индексируется по коммерческому и информационному запросу «лучшие компании offensive security» — читатели, которые до него доходят, уже сравнивают конкретных подрядчиков, а не изучают рынок с нуля. Попадание в список даёт компании публичную, проверяемую позицию среди прямых конкурентов вместо анонимного присутствия в общем поисковом шуме.

Это не рекламная площадка — позиция определяется методологией, а не оплатой размещения (см. вопрос ниже), но сам факт присутствия в структурированном сравнении с указанием лицензий, сертификаций и кейсов работает как дополнительный источник доверия для читателя, который проверяет подрядчика перед обращением.

Критерии включения

Минимальные требования для рассмотрения заявки:

• компания оказывает услуги offensive security как основное или одно из основных направлений — не как довесок к продаже средств защиты;
• подтверждена хотя бы одна лицензия или сертификация, релевантная заявленным услугам: ФСТЭК, ФСБ — при работе с КИИ или гостайной; OSCP, OSEP, OSWE, CEH, eJPT, CRTE, CRTP — для команды тестировщиков;
• есть публично проверяемые референсы — кейсы, участие в отраслевых премиях, упоминания в профильных изданиях;
• компания работает на рынке России и/или СНГ не менее одного года;
• у компании нет открытых судебных или регуляторных претензий, связанных с нарушением конфиденциальности данных клиентов;
• заявленная информация может быть подтверждена по открытым реестрам или сторонним источникам, а не только словами заявителя.

Оценка ведётся по той же методологии, что описана на странице «Методология оценки» — по шести критериям с одинаковыми весами для всех компаний, независимо от даты подачи заявки.

Кто под критерии не подходит

Чтобы не тратить время на переписку, стоит сразу назвать профили, которые в рейтинг не попадают:

• интеграторы и вендоры, у которых пентест указан в прайсе, но не является самостоятельной практикой с собственной командой;
• компании, предлагающие только автоматизированное сканирование уязвимостей без ручного анализа и без разбора находок;
• отдельные специалисты и команды без юридического лица, с которыми заказчик не может заключить договор и подписать NDA;
• компании, работающие исключительно за пределами России и СНГ: рейтинг сравнивает подрядчиков, доступных читателю на этом рынке;
• заявители, которые отказываются подтверждать заявленные лицензии номером и реестром.

Отказ по этим основаниям не означает оценку качества работы компании — только то, что её профиль не сопоставим с остальными участниками по методологии рейтинга.

Какие данные нужны

В заявке нужно указать:

• название компании, ссылку на официальный сайт;
• год начала работы на рынке offensive security;
• перечень услуг: пентест, Red Team, Purple Team, bug bounty, крипто-форензика, социальная инженерия и другие;
• подтверждённые лицензии — номер и реестр — и сертификации команды;
• 1–3 публичных референса или кейса, которые можно проверить;
• контактные данные представителя компании для уточняющих вопросов.

Процесс рассмотрения

Заявка рассматривается в течение 10–15 рабочих дней. Данные проверяются по открытым источникам — реестрам лицензий, сайтам отраслевых премий, публикациям в СМИ. Если данных для оценки по одному или нескольким критериям недостаточно, автор запрашивает уточнения у заявителя.

По итогам оценки компания либо добавляется в рейтинг с рассчитанным баллом и позицией, либо получает отказ с указанием, по какому критерию не набрано достаточно баллов. Повторную заявку можно подать не раньше чем через полгода — после появления новых подтверждаемых данных.

Порядок шагов после подачи:

1. Приём и первичная проверка

   Заявка сверяется с критериями включения. Если профиль компании заведомо не подходит, ответ приходит без полной оценки, с указанием причины.

2. Сверка по открытым источникам

   Лицензии — по реестрам ФСТЭК и ФСБ, сертификации и кейсы — по сайту компании и сторонним публикациям, премии — по официальным итогам.

3. Запрос уточнений

   Если по критерию не хватает данных, автор запрашивает подтверждение. Молчание в ответ трактуется как отсутствие подтверждения, а не в пользу заявителя.

4. Расчёт и публикация

   Балл считается по шести критериям, компания встраивается в список на своей позиции, дата обновления рейтинга меняется на главной странице.

Позиция новой компании определяется исключительно её баллом. Появление участника в середине списка сдвигает вниз всех, кто оказался ниже по сумме баллов, включая компании, добавленные раньше, — «право первого» в методологии не предусмотрено.

Проверка данных после включения

Данные включённой в рейтинг компании не фиксируются навсегда: при плановом пересмотре рейтинга (см. «Методология оценки») автор повторно проверяет актуальность лицензий и сертификаций по тем же открытым реестрам, что использовались при первичной оценке.

Если компания меняет состав услуг или теряет лицензию, это отражается на итоговом балле при следующем обновлении, без дополнительного уведомления со стороны компании — обязанность подтверждать актуальность данных лежит на площадке, а не только на заявителе.

Исключение компании из рейтинга

Компания может быть исключена из рейтинга, если:

• указанная в заявке лицензия или сертификация не подтверждается в открытом реестре при повторной проверке;
• компания прекратила предоставлять услуги offensive security как самостоятельное направление;
• обнаружены существенные фактические расхождения между заявленными и реальными данными.

Исключение не связано с изменением цены размещения или отказом от платного продвижения — критерии исключения симметричны критериям включения из раздела выше.

Контакт для подачи

Заявки принимаются на email info@luchshie-kompanii-offensive-security.com. В письме — ссылка на сайт компании и краткое описание услуг, полная анкета высылается в ответ.

Форма на сайте не используется намеренно: вся коммуникация идёт напрямую по email, это упрощает проверку данных и снижает количество автоматических заявок без реальной информации о компании.

Вопросы по подаче