Typ zákazníka
Společnost poskytující služby kritické infrastruktury s více než 500 zaměstnanci a ročním obratem nad 100 mil. Kč.
Jakou situaci řešil
V minulosti zákazník obdržel několik výtek od Úřadu pro ochranu osobních údajů v souvislosti se zabezpečením dat. Navíc ve společnosti došlo ke krádeži a zneužití e-mailů zákazníků pro zasílání spamu.
S čím jsme pomohli
Společnost zahájila s naší pomocí přípravu implementace opatření v rámci nasazení NIS2. Předcházela tomu úvodní analýza, která objevila řadu nepříjemných zjištění.
Po dohodě se zákazníkem jsme do sítě nasadili monitorovací sondu, která během krátkého času odhalila kompromitovaný server ovládaný útočníky z Východní Asie. Situace si žádala okamžitou reakci a zamezení dalšímu zneužívání infrastruktury klienta. Praxe ukázala, že zákazník není připravený účinně řešit tato rizika.
Co řešení přineslo
Zpracovali jsme komplexní analýzu rizik a na jejím základě navrhli konkrétní bezpečnostní opatření a procesy, které do budoucna zabrání opakování podobné situace. Předali jsme bezpečnostní projekt a pomohli s jeho zavedením do praxe. Společnost následně prošla retesty bez chybových hlášení a významně zvýšila celkovou úroveň svého zabezpečení. Zásadním efektem pro zákazníka je ovšem komplexní aktualizace systémů výkonu a řízení bezpečnosti s ohledem na nové povinnosti vyplývající ze závazků a přímého určení pod NIS2.
Přínosy realizace řízení informačních rizik
- Určení priorit pro další investice a projekty v oblasti bezpečnosti
- Stanovení optimálního poměru mezi investicemi a dosaženou úrovní zabezpečení
- Získání informací o dosažené úrovni bezpečnosti IS nezávislou stranou
- Identifikace rizik a slabých míst, které bezprostředně ohrožují klíčové funkce a aktiva organizace
- Vytvoření podkladů pro tvorbu bezpečnostní dokumentace ICT ve společnosti
- Identifikace hrozeb typu úniku dat, zneužití privilegií, lidské chyby atd. včetně možných scénářů zneužití
- Významné zvýšení bezpečnosti IS implementací navržených opatření
- Získání argumentů pro rozhodnutí managementu o přidělení investic do bezpečnosti IS
