Кіберзахист від невидимих загроз. Як зовнішній аудит посилив KNESS

Навіть у найнадійніших IT-системах можуть бути «слабкі місця». Головне — вчасно їх побачити. І саме в цьому допомагає незалежний зовнішній аудит кібербезпеки.

KNESS — міжнародна група компаній, що працює у сфері відновлюваної енергетики та установок зберігання енергії в країнах Європи. Головний офіс і виробничі потужності розташовані в Україні, а представництва — у Польщі та Латвії.

Компанія забезпечує повний цикл реалізації енергетичних проєктів: девелопмент, інжиніринг, проєктування, закупівлю обладнання та будівництво сонячних, вітрових електростанцій, установок зберігання енергії, а також диспетчеризацію, експлуатацію й технічне обслуговування. Окрім цього, KNESS займається постачанням і трейдингом електроенергії, управлінням балансуючою та агрегованою групами. Має власний RnD-центр.

Кібербезпека як стратегічна основа бізнесу

У роботі компанії KNESS використовуються складні IT-системи, які забезпечують керування енергетичними об’єктами, збір і обробку даних, а також взаємодію з клієнтами: ERP-система, власний програмно-апаратний комплекс SCADA тощо.

У таких умовах питання кібербезпеки для KNESS має технічне та стратегічне значення. Саме тому, IT-інфраструктура компанії є гібридною — значна її частина розміщена в приватній хмарі GigaCloud. Також, компанія має власну команду експертів із кібербезпеки та системно інвестує у рішення для безперервного захисту інформаційної інфраструктури.

«Ми щороку проводимо зовнішні аудити щодо надійності захисту інформаційної інфраструктури компанії. Це допомагає нам постійно посилювали безпеку наших IT-систем і на основі незалежної оцінки й рекомендацій вибудовувати стратегію подального розвитку напряму кібербезпеки. Ми, як компанія, яка співпрацює із міжнародними інвесторами, дбаємо про високі стандарти в кожному напрямі, в тому числі в контексті інформаційної безпеки при взаємодії із партнерами», — говорить Максим Луканов, в.о. керівника відділу інформаційної безпеки у KNESS.

Для цьогорічної перевірки компанія вирішила замовити аудит кібербезпеки у хмарного провайдера GigaCloud. KNESS обрали саме GigaCloud, бо співпрацюють з компанією вже досить довго і переконалися у надійності її рішень, експертизі фахівців та хорошій репутації на ринку.

Як проходив процес аудиту

Аудит кібербезпеки дозволяє перевірити, наскільки надійно захищені ІТ-системи, дані та процеси компанії від кібератак і витоків. Його проводять, щоб виявити слабкі місця в IT-інфраструктурі, оцінити ризики та отримати чіткі рекомендації, як посилити захист та уникнути інцидентів в майбутньому.

Фахівці GigaCloud провели для замовника технічний аудит ІТ-інфраструктури, тобто проаналізували саме архітектуру та побудову систем, без оцінки бізнес-процесів.

Аудит кібербезпеки KNESS складався з кількох етапів:

1. Первинний збір інформації та знайомство з IT-інфраструктурою. Команда GigaCloud провела детальний аналіз систем замовника, їхньої архітектури та підходів до захисту.
2. Серія технічних зустрічей. Відбулося близько п’яти зустрічей, під час яких фахівці провайдера уточнювали деталі роботи систем, обговорювали підходи до захисту та ставили конкретні технічні запитання.
3. Запит підтверджень та доказів. Після зустрічей команда GigaCloud запитувала підтвердження у вигляді конфігурацій, скріншотів налаштувань і технічної документації. Це дозволяло перевірити фактичний стан безпеки.
4. Аналіз і коригування. На основі отриманих даних було виявлено слабкі місця та надано рекомендації щодо їхнього усунення.
5. Аналіз ризиків. Було проведено базову оцінку ризиків: визначено проблемні точки, сформовано карту ризиків та обґрунтовано її методологію для команди замовника.
6. Підсумковий звіт і roadmap. Результатом аудиту став детальний звіт із виявленими вразливостями, рекомендаціями та дорожньою картою для подальшого підвищення рівня безпеки.

Фахівець GigaCloud, який безпосередньо брав участь в аудиті, підкреслює індивідуальність цього кейсу.

«Співпраця з KNESS була максимально комфортною та структурованою: команда чітко виконувала наші рекомендації, швидко впроваджувала зміни та відповідально ставилася до кожного етапу аудиту, — говорить фахівець GigaCloud. — Зазвичай під час таких перевірок виникають труднощі в комунікації: обмежений доступ до інформації, питання конфіденційності, відсутність фахівців з кібербезпеки. Це створює певний хаос у комунікації. У випадку з KNESS все було інакше — вони надали чіткий перелік того, що потрібно перевірити, що значно спростило та пришвидшило роботу».

Безпека — безперервний процес

Аудит інформаційної безпеки став для KNESS не одноразовою перевіркою, а частиною системного підходу до кіберзахисту.

Ключові результати аудиту:

• Підтвердження відповідності та готовності до вимог клієнтів. Компанія підтвердила, що її інфраструктура є безпечною та контрольованою.
• Виявлення вразливостей. Під час аудиту було знайдено вразливості, зокрема, конфігураційні помилки в тестових середовищах. Це дозволило швидко усунути потенційні ризики.
• Новий погляд на IT-інфраструктуру. Зовнішній аудит допоміг виявити те, що могло залишатися непоміченим всередині команди.
• Чіткий план розвитку кібербезпеки. Компанія отримала roadmap подальших покращень, перелік пріоритетних дій та рекомендацій щодо векторів підсилення кіберзахисту.
• Підвищення довіри та репутації. Аудит став важливим елементом для підтримки довіри до KNESS, як до надійного та відповідального партнера.

«Ми давно співпрацюємо з GigaCloud, і перш за все, цінуємо відкритість фахівців компанії, їхню готовність ділитися експертизою та відповідати на будь-які запитання. Тому коли визначили потребу в аудиті кібербезпеки, без сумніву звернулися саме до нього. В результаті отримали навіть більше, ніж очікували. Це був цінний внесок у розвиток нашої системи кібербезпеки», — говорить Януш Подвисоцький, заступник директора з інформаційних технологій, кібербезпеки та технічних питань у KNESS.