Сеть премиум-супермаркетов привела защиту персональных данных к ФЗ-152 за четыре месяца — до вступления оборотных штрафов

Решение: от аудита до внедрения в сжатые сроки

Проектная команда из четырех человек — менеджер, руководитель направления аудита, аудитор ИБ и методолог по 152-ФЗ — выстроила работу в несколько этапов, параллельно справляясь с открывавшимися по ходу сюрпризами.

С какими сложностями столкнулись

Уже в процессе аудита проявились факторы, которые существенно повлияли на объем и содержание проекта:

• Неизвестные процессы обработки ПДн. Были выявлены десятки процессов, не отраженных в документации. Часть из них оказались незнакомы даже ответственному лицу со стороны заказчика. Как следствие — кратно выросло количество информационных систем персональных данных и собираемых категорий.
• Трансграничная передача. Обнаружен факт передачи данных за рубеж, что требовало отдельного согласования с регулятором и внедрения дополнительных мер защиты.
• Только онлайн-взаимодействие. Все интервью с более чем 30 сотрудниками проводились дистанционно, а их число по мере вскрытия новых процессов значительно увеличилось.
• Сжатые дедлайны. Объем работ резко расширился, но команда приняла решение не сдвигать сроки. Проект уложился в утвержденные четыре месяца.

Хронология проекта: пять параллельных треков

Работы шли одновременно по нескольким направлениям, что позволило сохранить темп:

• Аудит мер и средств защиты (5 недель). Серия интервью с сотрудниками, задействованными в критичных бизнес-процессах, и анализ текущей документации.
• Актуализация моделей угроз и нарушителя (3 недели). На основе новых данных были с нуля разработаны частные модели угроз для всех ИСПДн в соответствии с методикой ФСТЭК.
• Разработка дорожной карты (1 месяц). Детальный план устранения нарушений и подбора средств защиты, учитывающий специфику и ресурсные ограничения ритейлера.
• Внедрение обновленных процессов и мер (2,5 месяца). Актуализация процессов обработки, внедрение средств защиты информации, минимизация поверхности атаки и устранение каналов утечек.
• Актуализация документации (1 месяц). Приведение всей организационно-распорядительной документации по ПДн в соответствие с новыми требованиями.

Результаты

Совместными усилиями к моменту завершения проекта были достигнуты:

• Собственная дееспособная ИБ-команда. На стороне заказчика сформирована полноценная команда и выстроены процессы, требуемые ФЗ-152 и другими регуляторами: защита сетей, контроль целостности, антивирусная защита, предотвращение утечек, управление инцидентами, защита на всех этапах жизненного цикла систем. Компания получила возможность автономно и безопасно продолжать работу с данными.
• Закрытые каналы утечек. Ликвидированы риски в процессах, о существовании которых заказчик не знал до аудита. Часть процессов перестроена для сокращения объема собираемых данных и минимизации возможных последствий.
• Полное соответствие требованиям регуляторов. Заказчик успешно прошел оценку эффективности мер защиты персональных данных и направил подтверждение в контролирующие органы. Частная модель угроз актуализирована под все ИСПДн.
• Оптимизация бюджета на ИБ. Набор рекомендаций позволил обеспечить реальную защищенность с минимальными затратами. Бюджет удалось сократить, значительно повысив отдачу от каждого вложенного рубля.

Фактическая и нормативная безопасность были достигнуты вовремя — до вступления в силу оборотных штрафов. Сейчас сеть самостоятельно поддерживает все системы в надлежащем состоянии, имея на руках понятную и работающую архитектуру защиты персональных данных.