Безопасная медицина: проект по оценке защищенности персональных данных для «Рокада Мед»

О заказчике

Заказчик проекта – казанская компания «Рокада Мед», которая занимается развитием российского рынка стоматологических материалов и оборудования, предлагая комплексные решения для диагностики, лечения и профилактики стоматологических заболеваний.

Компания на рынке уже 32 года и имеет свои филиалы в 18 городах России.

Об исполнителе

ICL Services – российская ИТ-сервисная компания (входит в группу компаний ICL), работающая на отечественном и международном рынках. В штате компании работает 2000 сотрудников, в портфолио – проекты для более 80 клиентов из разных стран мира.

ICL Services оказывает экспертные услуги по миграции и поддержке ИТ-инфраструктур, разработке, интеграции и тестированию ПО, аудиту ИБ, разработке и поддержке приложений, внедрению решений на базе ИИ, разрабатывает собственные ИТ-продукты.

Предпосылки проекта

Будучи коммерческой медицинской организацией, за многие годы работы заказчик создал значительную базу данных. При этом хранение конфиденциальной информации требует постоянного отслеживания угроз и оценки уровня защищенности в соответствии с требованиями законодательства.

Так, имея высокую потребность в оценке защищенности корпоративных ресурсов, заказчик обратился за экспертизой к ICL Services, специалисты которой уже несколько лет оценивают защищенность различных ИТ-инфраструктур и помогают компаниям снизить юридические, финансовые и репутационные риски.

Перед командой стояли две ключевые задачи: составить отчет об уязвимостях и план для повышения уровня безопасности, а также провести анализ защищенности объектов ИТ-инфраструктуры и выявить возможные векторы атак и уязвимости корпоративных систем и ресурсов «Рокада Мед».

Ход проекта

Команда ICL Services состояла из четырех аналитиков информационной безопасности и проектного менеджера. Перед ними стояла задача проанализировать и оценить защищенность приложений и серверов.

Поиск угроз. На первом этапе команда использовала специальные сканеры, которые позволяют идентифицировать возможные векторы атак и уязвимые системы, для дальнейшего более детального анализа защищенности и потенциальных рисков. В результате был составлен начальный список угроз.

Ручная проверка. Однако автоматические сервисы не могут найти все слабые места, вследствие чего специалисты ICL Services также проверили приложения и сервера вручную: сначала искали доступ к серверам с правами пользователя, затем пытались получить права привилегированных пользователей на серверах и в веб-приложениях, добиваясь повышения привилегий в системах.

Благодаря такому подходу почти сразу удалось найти критическую уязвимость, о которой специалисты ICL Services сообщили еще до составления финального отчета.

Финальный отчет. В итоговом отчете специалисты ICL Services составили краткое резюме для заказчика, описали методологию проведения анализа защищенности и найденные уязвимости для ознакомления техническими специалистами заказчика, а также с разъяснением, чем и насколько опасна каждая уязвимость с рекомендациями по их устранению.

Также, для дополнительной гарантии, команда провела повторный анализ - после того, как основные уязвимости были устранены.

Весь проект занял всего лишь несколько недель. В рамках его реализации были использованы известные сканеры уязвимостей, инструменты анализа трафика, а также другие средства, в том числе созданные во время работы (конкретные их названия не разглашаются по соображениям безопасности).

Результаты проекта

Специалисты ICL Services оценили защищенность объектов ИТ-инфраструктуры «Рокада Мед» и уже на начальном этапе выявили критическую уязвимость в программном обеспечении заказчика.

После основного этапа также был подготовлен финальный отчет, проведена сессия вопросов и ответов с заказчиком по итогам выполненной работы и результатами отчета. Также команда предоставила дорожную карту для повышения уровня защищенности ИТ-инфраструктуры в соответствии с требованиями информационной безопасности.

На сегодняшний день между заказчиком и исполнителем ведутся переговоры о дальнейшей совместной работе.