Снизили регуляторные риски, не останавливая бизнес-процессы корпорации в сфере ритейла и финансов

Проблема

Существовали риски массовых утечек, оборотных штрафов и отзыва лицензий, так как процессы ИБ были сконцентрированы на одном сотруднике. Категорирование объектов КИИ не проводилось. Персональные данные миллионов клиентов обрабатывались в общей инфраструктуре нескольких юридических лиц.

Используемые средства защиты информации

Что выявил аудит

Документация была некорректной или отсутствовала

• Политика обработки ПДн существовала, но не соответствовала требованиям 152-ФЗ
• Согласия субъектов ПДн оформлялись не в требуемой письменной форме, часто давались “бессрочно”
• Отсутствовали модели угроз и акт классификации ИСПДн, а также акты и регламенты уничтожения ПДн

Процессы ИБ не были регламентированы

• В договорах с третьими лицами на обработку ПДн отсутствовали обязательные условия по безопасности, перечню действий и конфиденциальности
• Не были сформированы матрицы доступа к персональным данным и не велся учет машинных носителей
• Планы мероприятий по защите ПДн отсутствовали или существовали только на бумаге без механизмов исполнения и контроля.

Контроль и мониторинг эффективности мер защиты не осуществлялись

• Правила внутреннего контроля не определяли порядок оценки вреда субъектам ПДн при инциденте
• Оценка эффективности внедряемых средств защиты информации не проводилась до ввода в эксплуатацию
• Система внутреннего аудита и контроля фактически не функционировала
   

Результат

Компания получила реальные обоснования необходимости инвестиций в информационную безопасность. Мы выявили реальные риски и способы компрометации, а также помогли разделить и сегментировать потоки данных, связанных с обработкой персональных данных. Компания получила прочный фундамент для системного выстраивания процессов по защите ПДн и других защищаемых данных.