Совместный доклад компаний Лента и Акрибия об управлении рисками, обусловленными необходимостью вовлечения контрагентов в процессы обработки персональных данных программы лояльности.

1. Опыт аудита контрагентов,
задействованных в работе с
персональнымиданными
ВСЕВОЛОД КУЗЬМИЧ
Директор
по информационным
технологиям
ОЛЬГА ТЕПЛОУХОВА
Директор
по сопровождению
корпоративных клиентов
X Юбилейныймежотраслевой Форум
CISO FORUM 2017: Суровые будни CISO

2. География компании ЛЕНТА
2
259 гипермаркетов и супермаркетов
45 600 сотрудников 11 млн клиентов 306 млрд руб. выручки в 2016г.
7 логистических центров 78 городов

3. Масштаб задачи
защиты персональных данных в ООО «Лента»
3
11
млн. клиентов
– субъектов персональных данных
100
Гбайт ПДн
участвуют в подготовке и обработке
обрабатываетсяв IT-системах
259
гипермаркетов
участвуют в программе лояльности
7
контрагентов
~200
сотрудников
работают с даннымиклиентов

4. Критичность задачи
4
Утечка и продажа
украденных данных
Утечка и распространение
данных через Интернет
Нарушение непрерывности
бизнес-процессов
Утрата данных
обрабатываемых контрагентом
Фальсификация
данных в IT-системах
Повод для проверки
и возможные штрафы
защиты персональных данных в ООО «Лента»

5. ОТВЕТСТВЕННОСТЬв контексте всех бизнес-процессов лежит
на ООО «ЛЕНТА»
Ответственность оператора ПДн
согласно п.5 ст. 6 ФЗ-152
5
Сбор
данных
Администрирование
IT-систем
Взаимодействие
с регуляторами
Обезличивание
данных
Очистка
распознанных
данных
Маркетинговая
аналитика
Реагирование
на обращения
Подготовка
и анализ акций
SMS

6. Бизнес-процессы
Управляемые
риски
Выполняемые
самостоятельно
ООО «Лента»
Выполняемые
с привлечением
контрагентов
6
обработки персональных данных в ООО «Лента»
?ü Риски неизвестные и
непрогнозируемые

7. Постановка задачи
7
Необходим действенный метод управления рисками,
обеспечивающий:
ü прозрачность работы контрагентов;
ü адекватный уровень защиты данных контрагентом;
ü возможностьконтроля исполнения норм
законодательстваконтрагентом.

8. Практика работы
с контрагентами
8
1
2
3
…
Отбор
Квалификация
Сотрудничество
Контроль,
обработка
исключительных
ситуаций
Обязательства
контрагента
соответствовать
квалификационным
требованиям Первичная
оценка и
приведение в
соответствие

9. Эволюция процесса
9
Неполный
процесс
Выполняемый
процесс
Управляемый
процесс
Устоявшийся
процесс
Оптимизируемый
процессКонтрагенты
выбираются на
основе их
деклараций
по защите ПДн
Проверяется
фактическое
положение делу
контрагентов
Технология
взаимодействия
совершенствуется в
соответствии с
потребностями

10. 10
Квалификационный аудит
Вероятность
реализации рисков ИБ
ü
ü
ü
ü
ü
Защищенность
от компьютерных атак
Уровень зрелости
процессов обеспечения ИБ
Соответствие квалификационным
требованиям
Соответствие прочим
требованиям законодательства
Ключевой механизм технологии

11. Отчет по результатам аудита
11

12. Текущее состояние
внедрения технологии работы с контрагентами
12
23%
39%
38%
Аудит пройден,
замечания устранены
Устраняются
выявленные замечания
Ожидается аудит

13. 0
1
2
3
4
5
Первичная оценка соответствия
13
Вероятность реализации
рисков ИБ
Защищенность от
компьютерных атак
Уровень зрелости процессов
обеспеченияИБ
Соответствие прочим
требованиям законодательства
Соответствие
квалификационным
требованиям
Средний фактический уровень Минимально допустимый уровень

14. Самооценка контрагентов в части реализации
требований по ИБ часто завышена
14
Уделяют достаточновнимания парольной политике в компании
Защищают канал передачи конфиденциальных данных
Имеют возможности для обнаружения сетевых атак
Обеспечивают необходимый контроль доступа в инфраструктуру
Контролируют уязвимости в собственной сетевой инфраструктуре
Первичная оценка соответствия

15. Типовые проблемы
15
§ Непонимание строгости
требований заказчика, обеспечение
безопасности ниже величины риска
§ Нежелание брать на себя ответственность,
фиксировать её в договоре
§ Стремление отнести затраты исключительно
на заказчика, обозначившего проблему
в отношениях с большинствомконтрагентов

16. Промежуточные выводы
16
Многиесегменты рынка IT услуг
демонстрируют незрелостьв вопросах
защиты информации
Внешние аудиты безопасности – это
эффективный инструмент управления
взаимоотношениями с контрагентами
Рассмотренная практика работы с
контрагентами позволяет существенно
снизитьриски безопасности ПДн