§Правила выдачи

Правила выпуска и поддержания сертификатов

Версия 2026.3 · действует с 1 июля 2026 года

1

Область проверки

  1. Область — компоненты, домены, среды и исключения — согласуется письменно до начала тестирования.
  2. Область не может быть сужена после находки. Компания может отозвать заявку; отзыв не публикуется.
  3. Область и исключения публикуются на странице сертификата полностью.
2

Блокирующие критерии

  1. Critical-риск блокирует выпуск сертификата на любом уровне до устранения и повторной проверки.
  2. High-риск должен быть устранён для уровней V3 и V4. Для V1 и V2 открытый High раскрывается на странице сертификата как число.
  3. Компания не может «принять» находку, чтобы получить сертификат; принятие риска применяется только к Medium и ниже и фиксируется.
3

Результаты и подтверждающие материалы

  1. Каждая проверка в области получает зафиксированный результат: успешно, подтверждено, не применимо, не пройдено или ожидает.
  2. Подтверждающие материалы по каждому результату хранятся CyberSecurityV в течение срока действия сертификата плюс двенадцать месяцев.
  3. На странице сертификата публикуется только описание подтверждающих материалов. Детали уязвимостей, секреты, приватные адреса, фрагменты кода и любые подтверждающие материалы, способные облегчить атаку, не публикуются никогда.
4

Срок действия

  1. Сертификат действует двенадцать месяцев с даты проверки и называет редакцию методологии, по которой проведена проверка.
  2. Продление — полная проверка по текущей редакции.
5

Существенные изменения и повторная проверка

  1. Компания обязана сообщить о существенном изменении в течение десяти рабочих дней. Существенные изменения: замена механизмов аутентификации или авторизации, новые компоненты в области, переезд хостинга, инцидент безопасности, затронувший область, и уязвимость уровня High или Critical, о которой сообщила третья сторона.
  2. При сообщённом или обнаруженном существенном изменении сертификат приостанавливается до повторной проверки затронутых пунктов.
  3. Повторные проверки в рамках мониторинга V4, выявившие риск High или Critical, приостанавливают сертификат автоматически.
6

Приостановка и отзыв

  1. Приостановка временна. Она снимается после успешной повторной проверки или переходит в отзыв, если риск не устранён в согласованный срок — тридцать дней для High, пять рабочих дней для Critical.
  2. Отзыв окончателен. Основания: неустранённый Critical- или High-риск после срока, ложные сведения в заявке, неправомерное использование сертификата или бейджа, препятствование повторной проверке, неоплата.
  3. Статус, дата изменения и причина публикуются на странице сертификата. Приостановленные, истёкшие и отозванные записи остаются в реестре.
7

Использование сертификата и бейджа

  1. Бейдж можно использовать только в выданном виде, со ссылкой на страницу сертификата.
  2. Сертификат нельзя представлять как покрывающий компоненты вне опубликованной области или как одобрение продукта или компании.
  3. Упоминание CyberSecurityV в маркетинге должно использовать точное название бренда и не должно подразумевать аккредитацию или партнёрство с какой-либо организацией по стандартам.
8

Апелляции

  1. Компания может письменно обжаловать находку или решение о статусе в течение десяти рабочих дней. Апелляции рассматривает лицо, не участвовавшее в исходной проверке.
  2. Апелляция, её исход и обоснование фиксируются. Публикация исхода ограничивается изменением статуса, если оно есть.
9

Конфиденциальность и конфликт интересов

  1. CyberSecurityV не разрабатывает, не перепродаёт и не внедряет проверяемые продукты и не получает оплату, зависящую от результата.
  2. Закрытые отчёты, доступы и подтверждающие материалы используются только для проверки и удаляются или отзываются по её окончании, кроме подтверждающих материалов, хранимых согласно разделу 3.