Обследование информационных систем страховой компании «СОГАЗ-ЖИЗНЬ»

Предыстория

ООО «СК СОГАЗ-Жизнь» работает с большими объемами данных, которые относятся к персональным данным или коммерческой тайне. От серьезного отношения к защите информации во многом зависит репутация компании и ее безопасность.

Согласно п. 1.4 Положения 757-П Банка России защита информации в информационных системах некредитной финансовой организации должна соответствовать требованиям ГОСТ Р 57580.1–2017. Проводить оценку соответствия компании этим требованиям имеет право сторонняя организация, имеющая лицензию ФСТЭК России.

Компании «СОГАЗ-ЖИЗНЬ» требовался опытный системный интегратор, обладающий глубокой экспертизой в области создания комплексных систем информационной безопасности. Необходимо было учесть все нюансы и предложить оптимальные решения для приведения ИТ-инфраструктуры в соответствие с требованиями Банка России к защите информации. Для осуществления этой задачи был выбран системный интегратор «Платформикс».

Задача

Провести аудит системы защиты информации в компании и предложить меры по их модернизации. Дать экспертное независимое заключение о соответствии информационных систем заказчика требованиям регулятора.

Ход проекта

На первом этапе команда интегратора протестировала системы заказчика на проникновение и провела ИБ-аудит.

Эксперты «Платформикс» выполнили следующие работы:

• собрали свидетельства о работе систем — например, документы и технические данные);

• проанализировали организационно-распорядительную документацию;

• проанализировали настройки прикладного и системного программного обеспечения, средств криптографической защиты информации и СЗИ;

• провели интервью с работниками организации;

• разработали отчеты с предварительными результатами аудита, выводами о соответствии требованиям Положения к системе обеспечения информационной безопасности;

• разработали рекомендации по совершенствованию системы защиты информации и повышению уровня соответствия;

• проанализировали уровень защищенности и провели тестирование на проникновение ИТ-инфраструктуры;

• разработали организационно- распорядительную документацию для повышения уровня соответствия ГОСТ Р 57580.1- 2017.

После этого команда интегратора разработала для «СОГАЗ-ЖИЗНЬ» дорожную карту и рекомендации по модернизации систем обеспечения информационной безопасности.

Эксперты «Платформикс» также оказали помощь по настройке и пилотированию различных средств защиты информации. В завершение проекта был проведен повторный ИБ-аудит соответствия требованиям Положения 757-П и ГОСТ Р 57580.1- 2017.

Результат

По итогам обследования страховая компания получила план мероприятий по приведению в соответствие требованиям ГОСТ Р 57580.1-2017 и Положения Банка России №757-П. В плане были перечислены требования, которые не выполняются или выполняются не полностью, и меры по их исправлению.

Команда «Платформикс» также подготовила проекты внутренней нормативной документации и отчет с результатами оценки соответствия защиты информации ИС «СОГАЗ- ЖИЗНЬ» требованиям ЦБ РФ от 20 апреля 2021 г. № 757-П и ГОСТ Р 57580.1-2017, с заключением о достижении страховой компанией 4-ого уровня соответствия. Оценка и оформление отчета проводились по требованиям ГОСТ Р 57580.2–2018.