Аудит информационной безопасности в фармацевтической сети

Фармацевтическая сеть - независимая сеть аптек, входит в ТОП - 10 национальных сетей с частным капиталом. По состоянию на начало 2019 года насчитывает более 60 аптек, и объединяет команду более чем из 300 сотрудников. Год основания - 2010.

Компания уделяет большое внимание профессионализму сотрудников, в своей стратегии развития делает ставку на новые технологии и новации в отрасли.

Предпосылками для принятия решения руководством фармацевтической сети о проведении внешнего аудита информационной безопасности стали:

• активный рост компании: увеличение розничных точек и количества сотрудников сети аптек;
• внедрение автоматизированных информационных систем для предоставления электронных услуг для граждан;
• повышение уровня защиты конфиденциальной информации компании;
• повышение уровня защиты конфиденциальных данных в рамках активного развития и совершенствования программы лояльности клиентов сети;
• внедрение процессов по обеспечению информационной безопасности.

Перед ITExperts были поставлены задачи:

• провести оценку обеспечения информационной безопасности;
• разработать рекомендации по ее оптимизации.

Были проведены следующие работы:

• экспресс-аудит информационной безопасности бизнес-процессов и информационных систем фармацевтической сети на соответствие требованиям ISO/IEC 27001:2013;
• разработан отчет по результатам аудита;
• разработан детальный план работ по внедрению системы менеджмента информационной безопасности на основании результатов аудита.

В ходе проведения экспресс-аудита были проведены интервью с руководителями всех ключевых отделов Заказчика, собрана информация о текущих задачах отделов и обсуждены потребности по защите информации.

План работ по внедрению системы менеджмента информационной безопасности включал реализацию следующих мероприятий:

• разработка и внедрение политики информационной безопасности; введение роли менеджера информационной безопасности;
• разработка и внедрение политики классификации информации;
• разработка и внедрение политики управления правами и уровнями доступа, политики по управлению паролями, внедрение системы управления доступами;
• разработка и внедрение процедуры найма, перевода и увольнения сотрудников;
• разработка политики по обеспечению непрерывности бизнеса в части резервного копирования и восстановления информации после аварии;
• разработка правил работы с поставщиками услуг;
• разработка политики по управлению общедоступной информацией на файловых серверах, использованию облачных сервисов, разработка структуры хранилища.

На основании плана по внедрению системы менеджмента информационной безопасности был разработан детальный график работ на 2018 год по внедрению Системы Менеджмента информационной безопасности. В фармацевтической сети выполнены мероприятия и работы согласно графику. Компания «ЮГИС групп» активно отслеживала реализацию плана и принимала участие в формате консультаций и рекомендаций.