ITglobal.com провела тест на проникновение для банка «Майский»

2020: Проведение оценки соответствия Положению 382-П и теста на проникновение

3 июля 2020 года компания ITglobal.com сообщила о проведении оценки соответствия Положению 382-П и теста на проникновение для банка «Майский» (для внешних площадок). Банк показал соответствие требованиям Положения — результаты направлены регулятору. По итогам пентеста аудиторы составили подробные рекомендации для устранения выявленных уязвимостей.

Как и любая финансовая организация, которая занимается переводами, банк «Майский» обязан раз в два года проводить оценку соответствия Положению № 382-П, заполнять отчетную форму 0403202 и направлять ее в Банк России. Для оценки должна привлекаться сторонняя аудиторская компания с лицензией ФСТЭК на деятельность по технической защите конфиденциальной информации.

Задачи проекта:

• 382-П. Ранее клиент проводил только самооценку на соответствие Положению ЦБ РФ. Для проведения внешней оценки банк «Майский» искал аудиторскую компанию. Еще одно условие: работы необходимо было выполнить в сжатые сроки.
• Пентест. Вместе с оценкой соответствия 382-П клиент решил проверить уровень внешней защищенности информационных систем. Для этого банку дополнительно требовалось организовать тестирование на проникновение (pentest) — имитацию хакерских атак для выявления уязвимостей в инфраструктуре.

Специалисты по информационной безопасности ITGLOBAL.COM провели оценку соответствия № 382-П в оговоренные сроки. По итогам аудиторы помогли клиенту составить отчет по форме Банка России, который был направлен регулятору. В ходе оценки банк показал достаточно высокий результат соответствия Положению № 382-П.Рынок аутсорсинга информационной безопасности в России: особенности развития и перспективы. Обзор TAdviser 6.6 т

В результате внешнего тестирования на проникновение были обнаружены некоторые уязвимости высокого и среднего уровня критичности. Клиент получил рекомендации по их устранению. По данным на июль 2020 года большинство уязвимостей уже устранено.

«Мы успели подготовиться к приезду аудитора ITGLOBAL.COM. Тем не менее, был выявлен ряд некритичных несоответствий 382-П — они касались в основном документации и конфигурации отдельных информационных систем. Пентест также оказался очень полезным: некоторые из обнаруженных уязвимостей мы сразу же устранили, кое-что еще в процессе. Аудиторы разбираются, не только в настройках СЗИ, но и в неочевидных возможностях операционных систем. Их рекомендации помогли нам усилить защиту периметра», отметил Рустам Нагацуев, начальник отдела информационной безопасности банка «Майский»