Polisa na bezpieczeństwo

Zaawansowane rozwiązania IT wspierają efektywność organizacji i często stanowią kluczowy element jej przewagi konkurencyjnej. Szczególnie potrzebne jest to w sytuacji, gdy wymagana jest duża skalowalność biznesu.

Nasz klient z branży ubezpieczeń współpracuje z partnerami z różnych branż – bankami, instytucjami finansowanymi, przedsiębiorstwami z branży automotive, operatorami telekomunikacyjnymi, sieciami handlowymi oraz firmami e-commerce, którzy następnie sprzedają produkty ubezpieczeniowe swoim klientom. Wymaga to odpowiedniego wsparcia informatycznego – stanowi wyzwanie dla programistów, którzy muszą dostarczyć rozwiązania odpowiadające na potrzeby biznesu – przede wszystkim w postaci odpowiedniej logiki, interfejsów graficznych dla partnerów i ubezpieczonych, czy też interfejsów komunikacyjnych do wymiany danych z systemami zewnętrznymi.

Każde z miejsc styku aplikacji ze „światem zewnętrznym” stanowi jednocześnie możliwe miejsce naruszenia bezpieczeństwa informacji przetwarzanych w aplikacjach – w formie cyberataku lub choćby błędu użytkownika. Skutki takich incydentów mogą być różnorakie, ale w każdym przypadku byłyby szkodliwe: błędne lub niespójne dane wprowadzone do bazy, wyciek danych lub nieautoryzowane ich usunięcie – to tylko kilka przykładów potencjalnych zagrożeń. Możliwe następstwa takich incydentów to m.in. czasowe wstrzymanie operacji biznesowych, narażenie na odpowiedzialność prawną (np. RODO, wytyczne KNF) lub kontraktową, straty finansowe i wizerunkowe dla organizacji.

Skuteczne mechanizmy ograniczające ryzyka cyberbezpieczeństwa zawsze muszą być wielopoziomowe – począwszy od odpowiednich polityk i procedur, poprzez dobre praktyki w zakresie rozwoju bezpiecznych aplikacji, skończywszy na ochronie infrastrukturalnej (m.in. Web Application Firewall). Pełen zestaw tych rozwiązań jest stosowany przez klienta, a zadaniem All for One było niezależne zweryfikowanie, za pomocą inwazyjnych testów penetracyjnych, czy podjęte środki organizacyjne i techniczne są wystarczające.

W ramach współpracy z klientem zespół All for One Poland przeprowadził testy penetracyjne rozbudowanej aplikacji customowej służącej do obsługi cyklu życia ubezpieczeń.

Badanie bezpieczeństwa przetwarzania danych w aplikacji towarzystwa ubezpieczeniowego trwało kilka tygodni, podczas których sprawdzaliśmy zachowanie systemu m.in. w reakcjach na typowe oraz nietypowe działania użytkowników. Wirtualnie wcielaliśmy się w role takie jak sprzedawca, telemarketer czy ubezpieczony, jak również weryfikowaliśmy zabezpieczenia aplikacji przed nieautoryzowanym dostępem.

Aplikacja zbudowana z wielu modułów webowych, różnorodnych punktów API oraz systemów do uploadu plików wymagała dogłębnego zrozumienia i metodycznego podejścia do testowania. Przeprowadzona analiza obejmowała zarówno ogólne aspekty bezpieczeństwa, jak również specyficzne ryzyka związane z przetwarzaniem danych osobowych klientów, transakcjami finansowymi i innymi istotnymi obszarami z punktu widzenia branży ubezpieczeniowej.

Po przeprowadzonej analizie konsultanci All for One Poland przedstawili szczegółowy i przejrzysty raport z dowodami z przeprowadzonych testów penetracyjnych, uwzględniający zalecenia dotyczące poprawek. Klient wykazał się dużą determinacją w szybkim wdrożeniu zaleconych zmian. Dodatkowo przeprowadziliśmy konsultacje w zakresie doskonalenia stosowanych rozwiązań IT. A przeprowadzony re-test potwierdził skuteczne zaimplementowanie rekomendowanych poprawek.