Незалежна оцінка кібербезпеки програм BAS компанією ImmuniWeb у 2026 році

За результатами ImmuniWeb констатуємо, на середину 2026 року флагманські продукти BAS на 90% відповідають всім сучасним вимогам та стандартам кібербезпеки. Це чудовий показник, оскільки крім базового функціоналу, пріоритетним аспектом роботи інформаційних систем на підприємстві, а саме – програмного забезпечення, яке формує та реалізує функціонал ІС, є захист бізнес-даних та безпека програм BAS з погляду здатності протистояти безпековим вразливостям, які існують в сучасному кіберпросторі. І наші основні продукти BAS ERP та BAS Бухгалтерії чудово впоралися з більшістю цих вимог.

За якими критеріями перевіряли безпеку програм BAS?

Перевіркою займалась відома швейцарська компанія ImmuniWeb – розробник SaaS-платформи у сфері кібербезпеки, яка використовує ШІ-інтелект для аналізу рівня захищеності інформаційних систем, що допомагає виявляти відповідні вразливості програмного забезпечення.

Об’єктами незалежної оцінки ImmuniWeb стали програми BAS ERP та BAS Бухгалтерії – універсальні флагманські рішення у сфері автоматизації облікових, інтеграційних, аналітичних та інших бізнес-процесів на підприємствах різного типу.

Перевірка здійснювалася з використанням стандартних можливостей SaaS-платформи, а саме функції Penetration Testing, що імітує санкціоновану кібератаку на інформаційну систему, мережу та саму програму.

Для оцінки можливостей програм BAS чинити опір сучасним кіберзагрозам, а головне – з метою виявлення «сліпих зон» в системі захисту бізнес-даних, були задіяні стандартні тести (8 шт.) ImmuniWeb, а саме:

1. 1Управління ризиками IT-інфраструктури – включає виявлення, оцінку, пом’якшення та контроль кіберзагроз, основні критерії перевірки:
   • оцінка політики безпеки;
   • оцінка ризиків;
   • рівень безпеки SDLC;
   • ступені ризику для 3-х осіб.
2. 2Конфіденційність даних – включає розмежування доступу, шифрування даних, запобігання копіюванню тощо, основні критерії перевірки:
   • принцип Data Minimization;
   • шифрування даних (під час роботи/в стані спокою);
   • контроль доступу (надання, розмежування, відстежування, реєстрація тощо);
   • право на внесення змін (видалення/редагування);
   • зберігання даних.
3. 3Управління ідентифікацією та доступом (IAM) – система політик, що контролює ідентифікацію, аутентифікацію та авторизацію користувачів на рівнях RBAC, MFA та SSO, основні критерії перевірки:
   • надійність аутентифікації;
   • захищеність сховища даних;
   • безпека сеансу (перехоплення, контроль сценаріїв тощо);
   • управління привілеями (для користувачів з підвищеними правами доступу);
   • блокування облікового запису при виявленні несанкціонованого доступу.
4. 4Безпека клієнт-серверної архітектури – включає централізований захист даних на рівні клієнта та на рівні сервера, в тому числі авторизацію/аутентифікацію, захист передачі даних, захист DDoS, резервне копіювання, валідацію даних, захист від SQL-ін'єкцій та міжсайтового скриптингу, керування сесіями тощо, основні критерії перевірки:
   • авторизація API;
   • перевірка сертифіката;
   • критичні вразливості (жорстко закодовані секрети);
   • перевірка цілісності оновлення;
   • захист відкату до старих версій (Anti-Rollback).
5. 5Безпека кінцевих точок та операційних систем (ОС) – включає комплексний захист всіх пристроїв, які підключені до мережі та задіяні в інформаційній системі, основні критерії перевірки:
   • права адміністратора;
   • безпека послуг;
   • управління дозволами локального сховища;
   • безпека пам'яті (лімітування ОЗУ для запобігання обриву сеансу та втрати даних).
6. 6Ефективність системи управління інцидентами – процес виявлення, реєстрації, реагування, локалізації та усунення наслідків кібератак або збоїв, основні критерії перевірки:
   • реєстрація параметрів безпеки;
   • план реагування на інцидент;
   • фіксація порушення;
   • управління вразливостями (моніторинг, аналіз, стримування, ліквідація, пост-аналіз).
7. 7Відповідність директиві ЄС NIS2 щодо вимог безперервності та стійкості – включає необхідність мати плани аварійного відновлення, дієві системи резервного копіювання, а також методи управління кризовими ситуаціями, основні критерії перевірки:
   • ефективність резервного копіювання;
   • відновлення після катастроф;
   • безпека ланцюга постачання;
   • контроль доступності.
8. 8Криптографічний захист даних та управління ключами – включає комплекс алгоритмів та правил безпечного шифрування/передачі/зберігання даних, що переважно залежить від секретності ключів та контролю їх життєвого циклу, основні критерії перевірки:
   • наявні алгоритми криптографічного захисту;
   • система зберігання ключів (в тому числі їх періодична заміна – ротація).

Кібербезпека BAS за цими 8 тестами показала чудові результати, переважна більшість показників мала 100% відповідність сучасним стандартам зберігання бізнес-даних та протистояння безпековим вразливостям високого та критичного рівня.

Результати перевірки BAS ERP і BAS Бухгалтерії

Незалежне тестування ImmuniWeb показало, що безпека бухгалтерських програм BAS знаходиться на рівні 89,19% від максимально можливого показника. При цьому констатуємо 100% відповідність алгоритмів кіберзахисту від загроз високого та критичного рівня у програм BAS ERP та BAS Бухгалтерії.

Загалом з 37 тестів було успішно пройдено 33 тести, що говорить про захист персональних даних у BAS на дуже високому рівні. Було виявлено деякі вразливості низького та середнього рівня, над усуненням якими вендор вже почав роботу.

Перелік результатів тестування за основними групами показників:

За результатами проведеного тестування програми BAS ERP та BAS Бухгалтерія успішно пройшли перевірки за показниками, що стосуються загроз критичного та високого рівня. Тестування не виявило жодних випадків несанкціонованої передачі даних або інших критичних збоїв під час імітації кібератаки з боку ImmuniWeb.

Що результати аудиту означають для користувачів BAS?

Результати незалежної перевірки ImmuniWeb свідчать про високий рівень захищеності протестованих програм BAS ERP та BAS Бухгалтерія за критеріями, що входили до проведеної оцінки. BAS ERP та BAS Бухгалтерія продемонстрували високі результати за перевіреними показниками кібербезпеки та стійкості інформаційних систем.

Де ознайомитися з детальними результатами перевірки?

Більше інформації щодо тестування ImmuniWeb програм BAS Бухгалтерія та BAS ERP, безпека яких, як показали результати, знаходиться майже на праймовому рівні, можна знайти за посиланнями https://legalsoft.ua/korysni-materialy/ (прес-реліз). Також, якщо вас цікавить розширена інформація з цього приводу, просимо звертатися за адресою info@legalsoft.ua, вказавши реквізити запитувача – компанії-кінцевого користувача.