Охрана конфиденциальных данных является одним из главных приоритетов для «Делимобиля», которому компания уделяет системное внимание как в операционных процессах, так и в технологических решениях. Группа компаний «Солар» с 2023 года выступает партнером транспортного бигтеха в данной сфере, используя DLP-платформу Solar Dozor, а затем стала поставщиком инструмента для повышения цифровой грамотности персонала на базе платформы Security Awareness от Secure-T (входит в ГК «Солар»). Об этом изданию CNews сообщили представители ГК «Солар».
Как подчеркивает Александр Тихомиров, директор по информационной безопасности «Делимобиль», к ИТ-системам каршеринга, включая платформы для управления автопарком, предъявляется обширный перечень требований. В первую очередь это нормы 152‑ФЗ о защите персональных данных, 149‑ФЗ об информации, стандарт PCI DSS, а также положения приказа ФСТЭК № 117 в части интеграции с государственными информационными системами. При этом регуляторы оценивают не только уровень защиты данных, но и акцентируют внимание на стабильности и безопасности ИТ‑сервисов, от которых напрямую зависят бизнес-процессы и доступность сервиса для пользователей.
Для решения этой задачи компания разработала политику информационной безопасности, внутреннюю bug bounty‑программу (вознаграждение за обнаружение уязвимостей) и регламенты, соответствующие 152‑ФЗ. На технологическом уровне применяются DLP‑ и антифрод‑системы, часть из которых создана внутри компании с учетом особенностей бизнеса.
DLP-система Solar Dozor стала для «Делимобиля» не просто инструментом, а полноценной системой управления рисками утечек. Компания использует решение более трех лет, и за этот период вокруг него выстроены процессы, приносящие ощутимые результаты, а не формальный контроль. Встроенная в инфраструктуру DLP-система «Солара» функционирует в трех режимах – разрыв, реконструкция и перехват почтового трафика, а гибкая настройка политик безопасности позволяет защищать данные без остановки бизнес-процессов.
ИБ-департамент «Делимобиля» отказался от подхода «проверяем почту и фиксируем нарушения» и настроил контроль внешних файловых хранилищ (DCAP). Система собирает ссылки, которыми сотрудники обмениваются на российских и зарубежных файлообменниках, а специальный алгоритм проверяет их на наличие чувствительной информации. В большинстве случаев нарушения, как отмечает Александр Тихомиров, связаны с невнимательностью.
«Мы выстроили систему обучения киберграмотности в компании. Новые сотрудники обязательно проходят курс по информационной безопасности. Пока они не подтвердят знания, им не предоставляют важные роли и полномочия в системах. Для действующих сотрудников дважды в год мы проводим обучение по кибербезопасности с обязательным итоговым тестированием. Если сотрудник не проходит тест или показывает слабый результат, он проходит повторное обучение и проверку», − отметил Александр Тихомиров, директор по информационной безопасности «Делимобиль».
Компания также задействует возможности Solar Dozor по инициативе бизнеса. Один из примеров — контроль использования рабочего времени и урегулирование спорных ситуаций, связанных с обработкой данных. Отдел информационной безопасности не вводит тотальный надзор, но способен обеспечить дополнительную открытость процессов для внутренних проверок.
В дополнение к DLP-решению, компания применяет собственную систему антифрода и инструменты отслеживания внешних ссылок на облачные сервисы и файлообменники, такие как Google Drive или «Яндекс.Диск», которыми сотрудники обмениваются через почту или мессенджеры. Эти каналы рассматриваются как возможные источники утечек, и в сочетании с DLP-системой Solar Dozor и собственными разработками компания дополнительно анализирует ссылки на предмет конфиденциальных данных.
По словам Александра Тихомирова, технические меры в области информационной безопасности можно внедрить довольно оперативно, обновить процедуры или адаптировать их под современные требования ИБ. Однако формирование у сотрудников устойчивых привычек кибергигиены — задача, требующая гораздо больше времени. Поэтому «Делимобиль» создал систему обучения основам кибербезопасности.
Новые сотрудники обязательно проходят курс по информационной безопасности. Пока они не подтвердят свои знания, им не предоставляются ключевые роли и полномочия в системах. Текущие сотрудники дважды в год проходят обучение по кибербезопасности с обязательным итоговым тестированием. Если сотрудник не справляется с тестом или показывает низкий результат, он проходит повторное обучение и проверку.
Обучение сотрудников по ИБ организовано на базе единой платформы Security Awareness. «Делимобиль» использует решение Secure‑T (входит в ГК «Солар»), которое позволяет оценивать прохождение курсов и результаты тестов каждого сотрудника, отслеживать уровень киберграмотности персонала и динамику в масштабах компании. Также отдел ИБ регулярно проводит обучающие сессии и вебинары, организует рассылки с разбором актуальных киберугроз и мошеннических схем, чтобы сотрудники понимали, как они выглядят на практике. При этом обучение — лишь часть системы: дополнительно применяются разграничение доступа, мониторинг действий в системах и автоматические механизмы предотвращения инцидентов.
«Делимобиль — одна из самых технологически развитых компаний в России за пределами финтеха и ИТ-индустрии, которая сделала ставку на кибербезопасность в интересах клиентов. Для нашей команды сотрудничество стало ценным опытом: мы видим, как на практике решения встраиваются в экосистему ИТ-сервисов, усиливают и взаимно обогащают возможности собственных разработок и технологий от вендора. И этот опыт мы готовы предложить другим компаниям, которые рассматривают кибербезопасность как одно из конкурентных преимуществ бизнеса», — отметил Иван Вассунов, директор Центра технологий кибербезопасности ГК «Солар».
