КЛИЕНТ
Заказчиком в рамках данного проекта выступил крупный автомобильный холдинг. В связи с подписанным соглашением о неразглашении конфиденциальной информации (NDA), точное юридическое наименование организации в данном кейсе не раскрывается. Холдинг представляет собой масштабируемую, многоуровневую бизнес-структуру, обладающую разветвленной сетью подразделений. Особенности корпоративного устройства и наличие множества филиалов накладывают высочайшие требования на архитектуру информационных систем и процессы централизованного управления ИТ-активами.
ОТРАСЛЬ
Автомобильный бизнес и авторитейл. Современная автомобильная отрасль функционирует на стыке традиционных продаж и высоких цифровых технологий. Автохолдинги ежедневно агрегируют и обрабатывают колоссальные объемы критичных данных: от детализированных баз персональных сведений клиентов до финансовой аналитики, интеграций с глобальными дилерскими сетями, CRM-платформами и сложными логистическими цепочками. В таких условиях киберустойчивость становится не просто техническим параметром, а важнейшим фактором выживания и конкурентоспособности на рынке.
ПРОБЛЕМАТИКА
Перед стартом проекта мы детально проанализировали вводные данные. С какой проблематикой обратился клиент? Руководство холдинга столкнулось с комплексным кризисом в сфере киберзащиты:
- Критическая непрозрачность ИБ-ландшафта: Наблюдалась абсолютная непрозрачность реального уровня защищенности текущей корпоративной сети. Топ-менеджмент не имел достоверных метрик и объективной картины того, насколько ИТ-периметр способен противостоять современным угрозам.
- Регулярные нарушения безопасности: Ситуация усугублялась тем, что в компании была зафиксирована высокая частота инцидентов информационной безопасности. Подобные сбои создавали прямую угрозу непрерывности бизнес-процессов и требовали немедленного реагирования.
- Уязвимости при слияниях и поглощениях (M&A): Бизнес находился в стадии активного расширения, что подразумевало постоянное присоединение к холдингу новых структур. Главная проблема заключалась в том, что эти присоединяемые активы обладали крайне низким уровнем зрелости информационной безопасности. Каждое такое подразделение становилось потенциальным вектором атаки на головную организацию, принося с собой так называемый "технический долг" и устаревшие уязвимые системы.
ЗАДАЧА
Ключевая задача, которая была поставлена перед нашей командой — провести объективную и всестороннюю оценку эффективности информационной безопасности Общества. Ситуация требовала особого подхода, поскольку весь аудит необходимо было реализовать непосредственно в период модернизации ключевых ИТ систем холдинга. Это означало, что любые проверочные мероприятия должны были проходить максимально бесшовно, не нарушая работоспособность обновляемых сервисов, и при этом гарантировать, что в новую архитектуру закладываются строгие стандарты защищенности (концепция Secure by Design).
РЕШЕНИЕ
Для купирования рисков и решения поставленной задачи мы разработали многовекторную стратегию, сочетающую аудит процессов и практический взлом (эмуляцию атак):
- Аудиторский блок: Был проведен масштабный комплексный аудит информационной безопасности, ИТ-архитектуры и процессов обработки персональных данных (ПДн).
- Практический блок (Пентест): Мы выполнили глубокое тестирование на проникновение. В рамках практических работ был реализован детальный анализ защищенности web-приложений корпоративного уровня с применением метода «чёрный ящик». Также было осуществлено внешнее тестирование на проникновение (метод «чёрный ящик»). Использование "черного ящика" позволило нам действовать в логике реальных хакеров — без предоставления исходного кода или учетных записей, что дало наиболее релевантную оценку защищенности периметра.
- Методологический блок: По результатам проверок наши специалисты выполнили разработку пакета организационно-распорядительной документации (ОРД). Эта документация была необходима для того, чтобы жестко регламентировать все процессы обработки и защиты персональных данных, которые используются в холдинге.
РЕЗУЛЬТАТЫ
Итогом реализации проекта с марта по июнь стали измеримые бизнес-результаты, которые полностью закрыли основные "боли" лиц, принимающих решения (ЛПР):
- Стратегия и планирование: В качестве фундаментального итога была разработана дорожная карта, обеспечивающая полное устранение всех выявленных в ходе аудита проблем и уязвимостей. Именно в соответствии с этой картой в дальнейшем будут системно выполняться работы по защите информации холдинга.
- Оптимизация бюджета через «Quick Wins»: Мы не просто передали клиенту массивный перечень уязвимостей, а произвели грамотное ранжирование рисков. Было выполнено четкое определение приоритетных задач, нацеленных на получение быстрых и ощутимых результатов (концепция «quick wins»). Это позволило холдингу моментально закрыть самые критичные бреши, не дожидаясь окончания долгосрочных этапов модернизации.
- Снижение инсайдерских рисков: Завершена подготовка всей необходимой нормативной документации, которая юридически закрепляет персональную ответственность каждого сотрудника за обработку ПДн. Это кардинально повысило внутреннюю дисциплину и культуру обращения с конфиденциальной информацией.
- Дальнейшее масштабирование: Проект заложил основу для долгосрочного партнерства. Возможные перспективы по развитию проекта включают в себя организацию плотной совместной работы по поэтапной реализации утвержденной дорожной карты. Это гарантирует, что ИБ-процессы клиента будут непрерывно совершенствоваться параллельно с ростом бизнеса автомобильного холдинга.
