ИБ-аудит страховой компании: что проверить от доступов агентов до клиентских приложений

Страховые компании хранят паспортные, медицинские и финансовые данные клиентов, которые могут стать доступны злоумышленникам. Утечки и другие инциденты происходят в этой сфере все чаще, и регуляторы ужесточают требования к защите информации и увеличивают штрафы за их несоблюдение. Для руководителя страховой компании ИБ-аудит – это способ найти бреши в защите раньше, чем злоумышленник или регулятор, а для специалиста по ИБ – возможность получить объективную картину и обоснование для бюджета на защиту. В этом материале, подготовленном Максимом Кудрявцевым, консультантом по ИБ RTM Group, мы разберем по шагам, что важно включить в периметр аудита, как проверить документы, инфраструктуру и приложения и какие результаты запросить у аудитора.

Зачем страховой компании ИБ-аудит

Страховые компании всё чаще становятся целью злоумышленников. По оценке «Информзащиты», в январе–октябре 2025 года на них пришлось около пятой части всех утечек финансового сектора, и ситуация не улучшается. Эксперты объясняют их привлекательность тем, что страховщики хранят разнообразные данные о клиентах – от ФИО и даты рождения до медицинских сведений, информации об имуществе и страховой истории. Снизить риски помогает комплекс мер, и одна из ключевых – регулярный ИБ-аудит как внешнее контрольное мероприятие.

С его помощью можно понять, выдержит ли инфраструктура компании сбой или атаку, смогут ли работать без простоев и потерь данных ее ключевые процессы. Проведение проверок позволяет оценить полноту выбранных мер защиты информации по нейтрализации актуальных угроз и выявить «пробелы» в системе защиты. Но главное – аудит помогает обеспечить конфиденциальность данных клиентов, что и является основной задачей информационной безопасности.

С чего начать страховой компании, которая решила провести ИБ-аудит? Ниже описан порядок действий, от определения границ проверки до формирования итогового отчёта.

Определение границ аудита

В первую очередь, необходимо определить границы аудита. Если это сделано некорректно, часть систем остаётся за периметром, и злоумышленник может проникнуть в инфраструктуру как раз через непроверенный участок.

Важно понять, где обрабатывается защищаемая информация – персональные данные клиентов, сведения о финансовых операциях, коммерческая тайна. Для определения границ необходимо:

1. составить перечень информационных систем, обрабатывающих защищаемую информацию;
2. зафиксировать, какие категории информации в них обрабатываются;
3. определить актуальные требования к системам.

Для ИСПДн фиксируется уровень защищённости по Постановлению Правительства РФ № 1119. К системам, в которых проводятся финансовые операции, применяются требования 757-П и ГОСТ Р 57580.1. Для объектов КИИ учитываются результаты категорирования. Как правило, ключевым объектом становится автоматизированная система, в которой обрабатываются страховые операции, вместе с рабочими местами её пользователей, серверами и каналами связи. При этом в периметр включаются и обеспечивающие системы. Сами они могут не обрабатывать защищаемую информацию, но нарушения в них косвенно влияют на основные бизнес-процессы компании. К ним относятся:

• бухгалтерские системы;
• инфраструктурные сервисы, в том числе домен;
• файловые хранилища;
• внешние сервисы, в том числе личные кабинеты клиентов;
• сервисы электронной почты;
• инструменты электронного документооборота;
• прочие решения для бизнеса;
• системы централизованного управления средствами защиты информации.

Отдельно в периметр включаются процессы мониторинга и управления инцидентами, а также каналы информирования Банка России через ФинЦЕРТ и НКЦКИ. Системы, которые не обрабатывают защищаемую информацию и не влияют на бизнес-процессы, а также АРМ, находящиеся в другом сегменте сети без доступа к АС, можно исключить из периметра.

Проверка нормативной и организационной базы

Далее необходимо проверить организационную и нормативную базу и определить, какие требования компания обязана соблюдать. Страховая организация одновременно является:

• субъектом КИИ (поэтому должна провести категорирование объектов КИИ);
• некредитной финансовой организацией (и нужно выполнять требования Положения Банка России № 757-П и проводить оценку соответствия ГОСТ Р 57580.1);
• оператором ПДн (необходимо определить уровень защищённости используемых ИСПДн).

Система защиты информации оценивается по трём направлениям:

1. Документация. Проверяется наличие и актуальность политики ИБ, регламентов по защите информации, в том числе управление доступом и реагирование на инциденты, а также документы по обработке персональных данных.
2. Прикладное ПО, ОС и средства защиты информации, то есть технические меры. Оценивается, как требования документов реализованы в системах, в том числе применяются ли СКЗИ для защиты передаваемых данных.
3. Персонал, который реализует организационные и технические меры и контролирует их выполнение. Аудитор смотрит, назначены ли ответственные, есть ли утверждённая программа повышения осведомлённости по ИБ, проводятся ли инструктажи и проверка знаний, а технический персонал и специалисты по ИБ регулярно повышают квалификацию.

Технический аудит инфраструктуры

Его главная цель – проверить фактическое состояние инфраструктуры. И быстро установить, какие меры защиты не реализуются в текущий момент.

Технический аудит проводится с помощью инструментальных средств. В него входят инвентаризация активов и сверка результатов с реестром для выявления неучтённых устройств и сервисов, так называемых Shadow IT. Затем проводится сканирование на уязвимости. Оно выявляет как известные уязвимости ПО из баз CVE и БДУ ФСТЭК, так и ошибки конфигураций, например, пароли по умолчанию или лишние открытые службы. Проверка конфигураций серверов, АРМ и сетевого оборудования на соответствие эталонным настройкам. Анализируются правила межсетевых экранов и сегментация сети, в том числе то, действительно ли АС недоступна из пользовательских и гостевых сегментов. Также проверяется актуальность обновлений ОС и ПО. Проводится тестирование на проникновение, поскольку Положение Банка России № 757-П требует осуществлять его ежегодно. Нормативные документы ФСТЭК рекомендуют прибегать к пентесту в отдельных обстоятельствах или по решению оператора системы.

Управление УЗ и доступом

Необходимо проверить, как организовано управление доступом и утвердить регламент управления доступом и матрицу прав.

ГОСТ Р 57580.1 для страховых выделяет управление доступом в отдельный процесс. Для ИСПДн и объектов КИИ требования к доступу также установлены приказами ФСТЭК России № 21 и № 239 и зависят от уровня защищённости ИСПДн и категории значимости объекта.

Для того, чтобы обеспечить эшелонированную защиту, меры должны реализовываться на всех уровнях, от домена и локальных политик до PAM- или IAM-систем, СЗИ от НСД и функционала самой ИС. Также нормативными актами проверяется осуществление контроля доступа пользователей, например, блокируются ли учётные записи уволенных сотрудников, соблюдаются ли требования к паролям, используют ли администраторы многофакторную аутентификацию и проводятся ли мероприятия по пересмотру прав пользователей.

Безопасность сайтов и приложений

Отдельного внимания требуют внешние сервисы страховщика. Через личный кабинет и мобильное приложение клиенты оформляют полисы, подают заявления на выплаты и проводят платежи. Важно, чтобы сайт, личный кабинет и мобильное приложение страховщика размещались в демилитаризованной зоне, изолированной от внутренней сети и АС. Обмен данными с АС допускается только через контролируемые шлюзы и API с ограниченным набором функций, чтобы взлом сайта не давал прямого доступа к клиентским базам. Аудитор с использованием средств поиска уязвимостей проверяет HTML-код, JS-скрипты и сборки приложений на наличие паролей, API-ключей, внутренних адресов и персональных данных клиентов. Также проводится тестирование на типовые уязвимости из OWASP Top 10 для веб-приложений.

Мероприятия по защите инфраструктуры

Необходимо убедиться, что на всех серверах и АРМ, связанных с АС, установлена антивирусная защита с актуальными базами. При этом важно не просто наличие антивируса, а то, что он управляется централизованно и события с него попадают к службе ИБ, а не остаются незамеченными на отдельных машинах.

Оценить процесс управления уязвимостями, то есть как часто проводится сканирование, кто отвечает за устранение найденных проблем и соблюдаются ли сроки.

Отдельно проверяется DLP-система и (или) иные средства предотвращения утечек, контролирующие передачу клиентских данных по почте, через мессенджеры и съёмные носители. Для страховщика это особенно важно, так как утечки часто происходят не из-за взлома, а через сотрудников и агентов, имеющих доступ к клиентским базам.

Мониторинг и реагирование на инциденты

Оценить, ведётся ли централизованный сбор и анализ событий безопасности, например с помощью SIEM-системы, а также наличие регламента реагирования на инциденты и его соблюдение на практике. Как субъект КИИ страховщик взаимодействует с ГосСОПКА в соответствии с приказами ФСБ России № 546, 547 и 548, а работа с НКЦКИ ведётся через личный кабинет. Важно проверить, что в регламенте закреплены сроки уведомления регуляторов, поскольку они различаются в зависимости от вида инцидента. Согласно приказу № 547, об инциденте на значимом объекте КИИ страховщик сообщает в НКЦКИ и Банк России в течение 3 часов, а по остальным объектам КИИ – в течение 24 часов. Указание Банка России № 7219-У устанавливает такой же срок в 3 часа для уведомления Банка России об инцидентах защиты информации для страховщиков. Об утечке персональных данных страховщик как оператор ПДн уведомляет Роскомнадзор первично в течение 24 часов, а о результатах расследования – в течение 72 часов.

Оценка подрядчиков и внешних связей

Важно не забыть также про внешних контрагентов, с которыми страховщик работает, то есть агентов, брокеров, клиники, СТО и ИТ-подрядчиков. Поэтому аудит охватывает и внешних контрагентов. Требования к работе с ними установлены Положением Банка России № 779-П об операционной надёжности, а оценку риска аутсорсинга удобно проводить совместно с подразделением риск-менеджмента. Прежде всего проверяется, ведёт ли компания реестр технологических процессов и их участков, которые выполняют поставщики ИТ-услуг. Далее оценивается, как управляются два ключевых риска – реализации информационных угроз со стороны поставщиков и технологической зависимости от них. Отдельно проверяются меры в отношении работников подрядчиков, имеющих доступ к инфраструктуре компании, чтобы их полномочия не могли быть использованы несанкционированно. Также оценивается, закреплены ли в договорах требования по защите информации и ответственность за их нарушение.

Что должно быть в итоговом отчёте?

Итоговый результат аудита обычно представляет собой не один документ, а целый комплект. Если мы говорим про страховую компанию, то в него, как правило, входят:

• отчёт об оценке соответствия по ГОСТ Р 57580;
• отчёт о контроле защищённости информации (показатель Кзи);
• отчёт по уязвимостям;
• отчёт о тестировании на проникновение;
• оценка уровня зрелости информационной безопасности, которая со следующего года распространяется и на страховые организации (Показатель Узи);
• иные отчеты в отношении направлений, выбранных страховщиком (например отчет по 779-П).

На основе результатов формируются конкретные рекомендации по устранению недостатков. Завершает комплект дорожная карта с приоритетами, сроками и ответственными за каждое мероприятие.

Типичные ошибки при проведении аудита

Отсутствие реализации обязательных технических средств (одного или нескольких обязательных для применения СЗИ) может сделать всю систему защиты информации неустойчивой ввиду того, что общий уровень защищенности определяется самым незащищенным компонентом. Также важно учитывать все актуальные угрозы ИБ. И не забывать о том, что наличие сильной системы защиты не освобождает от регулярного усиленного обучения сотрудников вопросам ИБ.

Еще один момент, который часто упускают из виду коммерческие компании, – это корректная подготовка внутренних документов. Многие относятся формально к этому вопросу или постоянно откладывают его «на потом». Однако когда документы по защите информации не разработаны, а ответственные не назначены, возникает риск невозможности исполнения всех требований законодательства или регуляторный риск. Так, в 2021 году ФСТЭК России оштрафовала некоммерческую организацию за то, что в организации не был назначен ответственный за обеспечение безопасности ПДн, а персональные данные передавались по электронной почте без сертифицированных СКЗИ.

Выводы

Рост числа утечек и ужесточение требований регуляторов показывают, что угрозы для страховщиков возникают не только на уровне отдельных систем, но и в процессах управления доступом, работе с подрядчиками и реагировании на инциденты. Поэтому страховым компаниям стоит проводить ИБ-аудит регулярно. Своевременное выполнение рекомендаций по его итогам поможет обеспечить конфиденциальность данных клиентов, сохранить непрерывность ключевых процессов и снизить регуляторные и финансовые риски.