Задача вне вашего профиля
Клиент просит личный кабинет, интеграцию с 1С или переписать внутреннюю систему. Отказ выглядит как «они не тянут», а согласие — как проект, которого у вас нет в компетенциях.
Партнёрская программа
Мы делаем то,
Мы делаем то,
что вы потом берёте под защиту
Мы не занимаемся ИБ и не конкурируем с вами за неё. Забираем у вашего клиента то, чего не делаете вы: разработку, автоматизацию, интеграции, AI.
Сдаём с ролевой моделью, журналами и описанным периметром — вам есть что аудировать, клиенту не нужен третий подрядчик.
NDA и white label — обычный порядок работы, а не исключение
Контур партнёра по ИБ аудит · пентест · мониторинг
Контур MRB разработка · интеграции · AI
сдаём вместе с узлом: ролевую модель и журнал действий
- 17 решений сдано с описанным контуром безопасности
- 20+ специалистов: инженеры, аналитики, продукт
- 6 направлений работы, ни одно из них не ИБ
- 5+ лет опыта в корпоративных проектах
Зачем это вам
Клиент просит то,
Клиент просит то,
чего вы не делаете
Четыре ситуации, в которых у ИБ-компании нет хорошего хода.
Чужой подрядчик рядом с вами
Клиент приводит разработчиков сам. Они не знают ваших требований, спорят с замечаниями аудита и правят их месяцами — а виноватыми в срыве сроков выглядите вы.
Нечего защищать
Система написана так, что у неё нет ни ролевой модели, ни журналов, ни разделения сред. Аудит превращается в переписывание чужого кода за чужой счёт.
Сделка уходит целиком
Клиент выбирает подрядчика, который закрывает всё сразу, — и уводит вместе с разработкой ваш ИБ-контракт. Проиграна не задача, а весь заказчик.
Модель работы
Как устроена связка
Три шага, в которых у каждого своя зона ответственности и никто не заходит на чужую.
01
Вы закрываете безопасность
Аудит, защита периметра, соответствие требованиям, мониторинг и сопровождение. Отношения с клиентом остаются вашими.
зона партнёра02
Мы забираем не-ИБ задачи
Продукт, внутренние системы, интеграции, автоматизация, AI. Приходим как ваш субподрядчик или как рекомендованная команда — как договоримся.
зона MRB03
Вы берёте результат под защиту
Сдаём систему с описанием доступа и журналов, закрываем замечания после вашей проверки. Новый контур становится вашим предметом работы, а не чужим.
зона партнёра
Разделение ответственности
Кто что делает
Проведена заранее — чтобы на проекте не выяснять её заново.
Берём на себя
mrb- Веб- и мобильные продукты, личные кабинеты клиентов и партнёров
- Внутренние системы, порталы и рабочие места сотрудников
- Автоматизация процессов и документооборота
- Интеграции, API, обмен с 1С и учётными системами
- AI и работа с данными: модели, ассистенты, аналитика
- Поддержка и развитие продукта после запуска
Сдаём в вашу приёмку и закрываем замечания в рамках проекта.
Остаётся за вами
партнёр- Аудит и оценка защищённости
- Пентест и анализ уязвимостей
- Защита периметра и инфраструктуры
- Соответствие требованиям и аттестация
- Мониторинг, SOC и реагирование на инциденты
- Регламенты и обучение персонала клиента
Ни один из этих пунктов мы не продаём вашему клиенту — ни сейчас, ни потом.
Систему в таком виде защитить нельзя Не потому, что она плохо написана. Потому, что в ней нечего аудировать: неизвестно, где чьи права, где журнал и где граница между средами.
Контур, который можно принять под защиту Те же пять узлов, у каждого своё место и своя подпись. Ваш аудитор начинает работу с первого дня, а не разбирает устройство по исходникам.
Порядка нет — проверять нечего приёмка идёт по этим же узлам
Документы
Что вы получаете на руки
Вместе с системой передаём шесть документов. Ваш аудитор начинает с них, а не с чтения исходников.
Ролевая модель
Описание ролей и матрица доступа: кто и что видит, кто и что меняет, что доступно администратору и чего не может он сам.
Журналирование
Действия пользователей и администраторов пишутся в журнал. Формат и глубина хранения согласуются с вами до старта, а не после.
Разделение сред
Разработка, тест и продакшен разведены, секреты вынесены из кода и репозитория, доступы к боевой среде именные.
Карта интеграций
Перечень внешних связей: какие данные уходят и приходят, по каким каналам, с какой аутентификацией и что произойдёт при обрыве.
Готовность к пентесту
Отдельный стенд, доступы и контакты инженеров на время вашей проверки — чтобы вопросы решались звонком, а не заявкой в очередь.
Закрытие замечаний
Найденное вами исправляем в согласованный срок в рамках проекта. Критерии приёмки фиксируются до старта работ.
Приёмка
Так выглядит
Так выглядит
передача контура
Вы находите — мы закрываем в срок — прогон повторяется чистым. Порядок прописан в договоре вместе с критериями приёмки.
- Критерии безопасности согласуются до старта, а не по факту находок
- На время проверки выделяется инженер, который отвечает вам напрямую
- Повторный прогон после исправлений входит в проект и не тарифицируется отдельно
первый прогон
3
замечания вашего аудита на среднем проекте
после исправлений
0
осталось открытыми к повторному прогону
срок по договору
10дн
на закрытие замечаний, дальше — за наш счёт
Как оформляем
Форматы сотрудничества
Формат выбираем под каждую сделку отдельно. Первую чаще всего делают по рекомендации — она ни к чему не обязывает.
01 / рекомендация
Рекомендация
Вы называете нас клиенту, договор он заключает напрямую с нами. Вознаграждение и порядок обмена информацией фиксируем отдельно.
- Минимум обязательств с вашей стороны
- Вы не берёте на себя наши сроки
- Подходит для первой совместной сделки
02 / субподряд
Субподряд
Договор с вами, перед клиентом выступаете вы. При необходимости работаем под вашим брендом и не показываемся клиенту отдельной командой.
- White label и NDA — обычный порядок
- Единая точка ответственности перед клиентом
- Мы отчитываемся вам, а не клиенту
03 / совместная поставка
Совместная поставка
Идём к клиенту вдвоём, каждый со своей частью и своим договором. План работ и приёмка общие.
- Понятная клиенту зона ответственности каждого
- Общий план и сроки
- Подходит для крупных внедрений
Компетенции
Шесть направлений,
Шесть направлений,
ни одно из них не ИБ
Полный список того, что мы делаем. Информационной безопасности в нём нет.
Разработка цифровых продуктов
Веб-сервисы, мобильные приложения, корпоративные системы и личные кабинеты — от анализа до запуска.
Автоматизация и интеграции
Бизнес-процессы, документооборот, обмен данными между системами, API и связка с 1С.
AI и работа с данными
Модели, ассистенты, обработка документов, аналитика и отчётность — там, где это правда экономит людям время.
IT-консалтинг и аудит
Разбор текущего ландшафта, техническое задание, архитектура решения и оценка трудоёмкости.
Инфраструктура и сопровождение
Развёртывание, среды, мониторинг и сопровождение систем после запуска.
Развитие существующих продуктов
Доработка и рефакторинг того, что уже написано другой командой, включая приведение в вид, пригодный для аудита.
Отрасли, в которых уже работали
Банки и финтех
Дистрибуция и логистика
Недвижимость
E-commerce
Промышленность и энергетика
Услуги
LegalTech
Агропромышленность
Часть проектов вели вместе с подрядчиками клиента по информационной безопасности — эти кейсы разбираем предметно на созвоне.
До первой сделки
Что обычно спрашивают
Нет. Информационной безопасности нет ни в наших услугах, ни в планах: это отдельный рынок с лицензиями и компетенциями, которые мы не строим. Если у клиента возникает задача по безопасности, мы возвращаем её вам. При необходимости это фиксируется в договоре отдельным пунктом.
Да, оба формата для нас обычный порядок работы. В субподряде клиент видит вас, а не нас: переписка, отчёты и документы идут от вашего имени.
Закрываем их в рамках проекта. Правила приёмки и критерии безопасности фиксируем до старта, чтобы не обсуждать их постфактум и не спорить, входит ли исправление в бюджет.
По умолчанию вы. Мы подключаемся к техническим обсуждениям и не ведём отдельных коммерческих переговоров с вашим клиентом без вашего ведома.
Оценку по задаче даём в течение нескольких рабочих дней после того, как увидим требования. Старт зависит от загрузки команды — на созвоне называем реальную дату, а не «сразу».
MRB Security — партнёрская линия компании MRB Digital: команда инженеров, аналитиков и продуктовых специалистов, 5+ лет работы с корпоративными заказчиками. Основной сайт со списком услуг, кейсов и составом команды — mrbdigital.ru.
Начало разговора
Расскажите, какие задачи клиентов вы сейчас не берёте
Посмотрим список и честно скажем, что из этого закроем, а что нет. Без презентаций и обязательств — на первом созвоне обсуждаем конкретную задачу, а не «возможности сотрудничества».
«Партнёрские запросы читаю я сам. Если коротко опишете, что за клиент и какую часть работы вы не берёте, — отвечу предметно, а не пришлю презентацию».
Юрий Оганисян
генеральный директор MRB Digital