Информационная безопасность в юридической фирме: отраслевой кейс

Обращение поступило после инцидента информационной безопасности. В момент атаки на сервер и внутреннюю сеть приходящий системный администратор не смог оперативно прибыть на объект. Атака стала следствием допущенных им ошибок защиты сети.

Чтобы предотвратить возможную утечку данных, руководство приняло решение полностью изолировать инфраструктуру от внешней сети, что привело к остановке ключевых рабочих процессов.

Для партнёров стало очевидно: проблема не в самом инциденте, а в уязвимой модели управления ИТ.

Компания оказывала юридические услуги и сопровождала дела клиентов. Критичными для бизнеса являлись:

• конфиденциальность всех рабочих материалов;
• непрерывный доступ к делам и документам;
• соблюдение процессуальных сроков и дедлайнов;
• сохранение репутации как ключевого конкурентного преимущества.

В юридической сфере утечка данных — это не технический инцидент, а прямой удар по доверию клиентов и позиции фирмы на рынке.

ИТ-сопровождение строилось по упрощённой модели:

• использовался приходящий системный администратор;
• формальные регламенты безопасности отсутствовали;
• доступы к файлам и системам не были централизованно контролируемы;
• резервное копирование и контроль восстановления не проверялись регулярно;
• ответственность за ИТ была фактически сосредоточена в одном человеке и не формализована.

Вся инфраструктура зависела от доступности конкретного специалиста.

Триггером стал инцидент безопасности. При отсутствии оперативной реакции со стороны администратора руководство столкнулось с выбором:

• продолжать работать в небезопасной модели с высоким риском утечек;
• либо сменить подход к ИТ и зафиксировать ответственность.

Было принято решение полностью сменить модель сопровождения на ИТ-аутсорсинг с договорно закреплёнными метриками реакции, прибытия и требованиями к информационной безопасности.

Решение реализовывалось системно, а не точечно:

• зафиксированы правила доступа к данным и системам; утверждена матрица доступа для всех уровней сотрудников;
• выстроена модель ответственности за ИТ и безопасность;
• организовано резервное копирование с контролем;
• введены регламенты реагирования на инциденты;
• ИТ-сопровождение переведено в управляемый и прозрачный формат;
• обеспечен контроль руководства без погружения в технические детали.

Для бизнеса это дало следующие эффекты:

• снизились риски утечки конфиденциальных данных;
• работа с делами и документами стала предсказуемой;
• руководство получило контроль над ИТ-рисками;
• повысилось доверие со стороны клиентов;
• исчезла зависимость от одного специалиста.

ИТ перестало быть слабым местом и стало управляемой частью бизнеса.

Для юридической фирмы:

• утечка данных — это репутационный и юридический риск, а не ИТ-сбой;
• простои означают потерю клиентов и позиций на рынке;
• приходящий администратор не обеспечивает требуемого уровня ответственности;
• управляемая ИТ-модель — это элемент защиты репутации;
• безопасность и контроль важнее экономии на сопровождении.

• Есть ли централизованный контроль доступов к делам и файлам?
• Понятно ли руководству, кто отвечает за ИТ и безопасность?
• Проверяются ли резервные копии на восстановление?
• Есть ли регламенты реагирования на инциденты?
• Зависит ли ИТ от одного человека?
• Можно ли продолжить работу без экстренной изоляции инфраструктуры?

Проверить — есть ли у меня такой риск

Если после проверки нужен разбор модели сопровождения, можно обсудить порядок работы и формат ответственности через Получить консультацию.