Qualys: Zaštita podataka tri miliona osiguranika

Za zaštitu ličnih podataka osiguranika, Generali osiguranje je rešilo da ad hoc usluge skeniranja zameni automatizovanim rešenjem, kako bi smanjili rizik ali i troškove

Kom­pa­ni­ja Generali osiguranje je po ve­ličini dru­ga osi­gu­ra­va­juća kuća na trži­štu Srbi­je. Sa vi­še od tri mi­li­ona osi­gu­ra­nih li­ca i pre­ko 1.500 za­po­sle­nih, li­der je na po­lju ži­vo­tnog i pri­va­tnog zdrav­stve­nog osi­gu­ra­nja.

O­sna­ži­va­nje od­bra­ne

Čuva­nje ličnih po­da­ta­ka je ne­i­zbe­žno u in­dus­tri­ji osi­gu­ra­nja, a ko­ri­sni­ci očeku­ju da će kom­pa­ni­je u­prav­lja­ti nji­ho­vim po­da­ci­ma na be­zbe­dan način. Kao je­dan od li­de­ra na trži­štu Srbi­je, Generali osiguranje čuva fi­nan­sij­ske i dru­ge ose­tlji­ve po­dat­ke vi­še od tri mi­li­ona građana. Međutim, dos­ko­ra kom­pa­ni­ja ni­je po­se­do­va­la zre­lo re­še­nje za iden­ti­fi­ko­va­nje naj­no­vi­jih cyber pre­tnji i čuva­nje po­da­ta­ka.

O do­sa­da­šnjoj si­tu­aci­ji, Ne­boj­ša Va­roščić, me­na­džer za IT be­zbe­dnost i ri­zi­ke u Generali osiguranju, kaže: „Ra­ni­je ni­smo ima­li ala­te za u­prav­lja­nje ra­nji­vos­ti­ma. O­sla­nja­li smo se is­ključivo na spolj­ne par­tne­re da dođu kod nas, ske­ni­ra­ju naš sis­tem i iden­ti­fi­ku­ju ri­zi­ke. To je bi­lo i sku­po i ne­do­volj­no čes­to.“

Kom­pa­ni­ji je pos­ta­lo ja­sno da taj pris­tup ni­je o­drživ na du­že sta­ze. O­dlu­ku o pro­me­ni je u­brza­lo i to što je ma­tična kom­pa­ni­ja Generali us­pos­ta­vi­la no­vu po­li­ti­ku in­for­ma­ci­one be­zbe­dnos­ti i do­ne­la no­ve smer­ni­ce za za­šti­tu po­da­ta­ka. To, kao i brzi­na ko­jom se no­ve pre­tnje po­jav­lju­ju i ra­zvi­ja­ju, uz šte­tu ko­ju mo­gu na­ne­ti kom­pa­ni­ji, pod­sta­klo je do­no­še­nje o­dlu­ke o na­bav­ci spe­ci­ja­li­zo­va­nih ala­ta.

Do­da­tni iza­zov do­ne­la je i no­va re­gu­la­ti­va ve­za­na za za­šti­tu po­da­ta­ka ko­ju je do­ne­la Vla­da Srbi­je. No­vi za­kon je u­glav­nom pre­sli­kao prin­ci­pe ko­je je do­neo GDPR na ni­vou Ev­rop­ske uni­je, a pos­ta­vio je i 21. av­gust 2019. kao rok da kom­pa­ni­je svo­je po­slo­va­nje usa­gla­se s njim.

U tom do­me­nu, Ne­boj­ša Va­roščić is­tiče: „No­va re­gu­la­ti­va je značila da mo­ra­mo još brže da ra­di­mo na tra­že­nju re­še­nja, ta­ko da smo brzo iden­ti­fi­ko­va­li ključne za­hte­ve. Že­le­li smo re­še­nje ko­je mo­že brzo i ja­sno da iden­ti­fi­ku­je pre­tnje za na­še he­te­ro­ge­no IT o­kru­že­nje, kao i da nam obe­zbe­di pre­gled svih re­sur­sa u mre­ži.“

I­zbor i im­ple­men­ta­ci­ja

Kom­pa­ni­ja Generali osiguranje je to­kom pro­ce­sa i­zbo­ra ra­zma­tra­la vi­še vo­dećih do­bav­ljača be­zbe­dno­snih re­še­nja i na kra­ju se o­dlučila za Qualys. Za do­no­še­nje o­dlu­ke pre­su­dni su bi­li vrhun­ski kva­li­tet i la­ka upo­tre­ba nji­ho­vih re­še­nja.

„Qualys je imao o­dlične pre­po­ru­ke, a o­dmah se i­zdvo­jio po la­koći ko­rišćenja. To je bio va­žan ele­ment u i­zgra­dnji na­šeg o­kru­že­nja,“ ka­že gospodin Ne­boj­ša Va­roščić.

Kom­pa­ni­ja je im­ple­men­ti­ra­la Qualys Vulnerability Management (VM) ka­ko bi omo­gućila auto­ma­ti­zo­va­no praćenje i ot­kri­va­nje be­zbe­dno­snih pre­tnji ši­rom he­te­ro­ge­ne in­fras­truk­tu­re. Ovo re­še­nje se ko­ris­ti za nad­gle­da­nje svih 56 jav­no vi­dlji­vih IP a­dre­sa ko­je Generali osiguranje ko­ris­ti, kao i niz a­pli­ka­ci­ja ši­rom nji­ho­ve mre­že. Svi ovi sis­te­mi ske­ni­ra­ju se na ne­delj­nom ni­vou, a uve­de­na je i po­li­ti­ka ske­ni­ra­nja sva­kog no­vog ser­ve­ra ili uređaja pre ne­go što se na nje­ga pre­ba­ce bi­lo ka­kve ose­tlji­ve in­for­ma­ci­je.

Ka­da Qualys VM ot­kri­je ri­zik na bi­lo kom od sis­te­ma, pri­ori­te­ti se u­glav­nom de­fi­ni­šu u skla­du sa stan­dar­dnim ran­gi­ra­njem ko­je je Qualys de­fi­ni­sao, što je do­volj­no da se ot­klo­ni većina ne­že­lje­nih si­tu­aci­ja. Re­dov­no se pra­ve i dva pri­la­gođena i­zve­šta­ja o o­zbilj­nim pre­tnja­ma, a bor­du kom­pa­ni­je se kvar­tal­no pred­stav­lja zbir­ni i­zve­štaj.

Qualys VM je omo­gućio kom­pa­ni­ji da po­slu­je u skla­du sa in­ter­nim i ek­ster­nim po­li­sa­ma. O to­me Ne­boj­ša Va­roščić ka­že: „Qualys VM ra­di o­dlično i za ot­kri­va­nje re­sur­sa. Re­dov­nim ske­ni­ra­njem ce­le mre­že, la­ko mo­že­mo vi­de­ti kad se do­da no­vi uređaj i pro­ve­ri­ti da li za­do­vo­lja­va re­gu­la­tor­ne stan­dar­de.“

Za­šti­ta ličnih po­da­ta­ka

Uz Qualys VM, Generali osiguranje je si­gur­no da će svi po­ten­ci­jal­ni ri­zi­ci za in­fras­truk­tu­ru bi­ti ek­spre­sno ot­kri­ve­ni, a sa­mim tim i da će lični po­da­ci tri mi­li­ona osi­gu­ra­ni­ka bi­ti te­melj­no za­štićeni od cyber na­pa­da.

Po rečima gos­po­di­na Va­roščića, ovo re­še­nje je iz te­me­lja pro­me­ni­lo pris­tup in­for­ma­ci­onoj be­zbe­dnos­ti u kom­pa­ni­ji Generali osiguranje. Ja­sni i­zve­šta­ji i kre­ira­nje lis­te pri­ori­te­ta pre­tnji ta­kvi su da i lju­di van IT sek­to­ra ra­zu­me­ju obim i uti­caj ko­ji ra­nji­vos­ti sis­te­ma mo­gu da na­pra­ve. Za­hva­lju­ju­ći to­me, na­kon im­ple­men­ti­ra­nja Qualys re­še­nja bi­la su im po­tre­bna sve­ga tri me­se­ca da ot­klo­ne vi­še od po­lo­vi­ne pre­tnji pri­su­tnih u nji­ho­voj in­fras­truk­tu­ri.

Osim to­ga, us­pe­li su da i­zbe­gnu bar je­dan o­zbi­ljan po­ku­šaj upa­da u sis­tem, za­hva­lju­jući brzoj re­ak­ci­ji na po­zna­tu Heartbleed ra­nji­vost. „Na dan kad je ra­nji­vost ot­kri­ve­na, iz Qualys‑a su nas hi­tno kontaktirali da nas upo­zo­re na o­zbilj­nost si­tu­aci­je. Brzo smo re­ago­va­li, ske­ni­ra­li smo sis­tem da de­fi­ni­še­mo obim na­še u­gro­že­nos­ti, a po­tom smo for­mi­ra­li tim ko­ji je in­sta­li­rao ne­op­ho­dne za­krpe“, is­tiče Ne­boj­ša Va­roščić.

Ka­da su ga ka­sni­je tog da­na ko­le­ge iz dru­gih in­sti­tu­ci­ja upo­zo­ra­va­le na pro­blem, Generali osiguranje je pri­vo­di­lo kra­ju ot­kla­nja­nje ri­zi­ka. „Za­hva­lju­jući Qualys re­še­nju bi­li smo je­dan ve­lik ko­rak is­pred pro­ble­ma“, do­da­je gos­po­din Va­roščić.

Na­re­dni ko­ra­ci

Qualys VM ne sa­mo da omo­gućava efi­ka­sni­je i efek­tiv­ni­je ot­kla­nja­nje pre­tnji već po­ma­že i to­kom oba­ve­znih re­vi­zi­ja. Fun­kci­onal­nos­ti ve­za­ne za ske­ni­ra­nje olak­ša­va­ju spro­vođenje te­hničkih re­vi­zi­ja i omo­gućava­ju Generali osiguranju da o­dmah vi­de ka­ko je in­fras­truk­tu­ra kon­fi­gu­ri­sa­na i da li su naj­no­vi­je „za­krpe“ in­sta­li­ra­ne. Ova mo­gućnost je po­se­bno bi­tna ra­di us­klađiva­nja sa o­dred­ba­ma Za­ko­na o za­šti­ti po­da­ta­ka.

IT sek­tor kom­pa­ni­je je im­pre­si­oni­ran oni­m što je Qualys VM re­še­nje do sa­da po­ka­za­lo, ta­ko da u Generali osiguranju pla­ni­ra­ju da pro­ši­re im­ple­men­ta­ci­ju do­da­va­njem Qualys Web Application Scanning (WAS) ala­ta.

S je­dne stra­ne, do­bi­li su re­še­nje ko­je im pru­ža stal­nu za­šti­tu, s dru­ge su u­šte­de­li i do 50 od­sto u o­dno­su na ra­ni­ji pris­tup. Zbog ta­kvih pre­dnos­ti, u Generali osiguranju že­le da pro­du­be o­dnos i pla­ni­ra­ju da Qualys WAS upo­tre­be da bi una­pre­di­li be­zbe­dnost sis­te­ma o­kre­nu­tih osi­gu­ra­ni­ci­ma.

Za­što Qualys?
• Ne­delj­no ske­ni­ra­nje šti­ti lične po­dat­ke osi­gu­ra­ni­ka od no­vih pretnji
• Ra­zum­lji­vi i­zve­šta­ji o ran­gi­ra­nju ra­nji­vosti
• Ske­ni­ra­nje ko­je omo­gućava te­hničku re­vi­zi­ju u skla­du sa za­kon­skim pro­pi­sima
• Do 50 od­sto ni­ži tro­ško­vi u o­dno­su na upo­tre­bu ek­ster­nih ala­ta i u­slu­ga ske­ni­ranja

Korisna adresa: www.ge­ne­ra­li.rs