Комплекс SafeERP на страже персональных данных сотрудников «Газпром трансгаз Уфа»

В процессах обработки персональных данных в информационных системах ООО «Газпром трансгаз Уфа» на базе SAP участвует более 1000 человек. Учитывая такие масштабы, вопросам реализации функций СЗПДн было уделено особое внимание. В качестве решения, обеспечивающего реализацию ряда значимых мер по защите персональных данных в SAP системах, был выбран программный комплекс SafeERP (ПК SafeERP) производства компании ООО «Газинформсервис».



«Реализованные при помощи ПК SafeERP функции СЗПДн, в совокупности с рядом дополнительных организационных и технических мер, позволили произвести аттестацию системы на заданные требования по защите персональных данных.» Дмитрий Даутов, начальник отдела информационной безопасности ООО «Газпром трансгаз Уфа».



В настоящий момент ПК SafeERP является штатным средством обеспечивающим защиту персональных данных в информационных системах ООО «Газпром трансгаз Уфа» построенных на базе SAP.



Проблема



В начале 2009 года на предприятии, наряду с масштабным внедрением программного обеспечения автоматизации производственно-хозяйственной деятельности на базе продуктов SAP AG, было принято решение о создании системы защиты персональных данных.



Предпосылками к созданию СЗПДн в ООО «Газпром трансгаз Уфа» являлись следующие потребности:

повышение уровня надежности и информационной безопасности ИТ-инфраструктуры;
приведение процессов обработки персональных данных в существующих и создаваемых информационных системах, в соответствие с законодательством РФ.
Создаваемая СЗПДн должна была полностью соответствовать требованиям действующих федеральных законов, иных нормативных правовых актов Российской Федерации и ОАО «Газпром», устанавливающих требования к обеспечению информационной безопасности персональных данных.



Особое внимание при создании СЗПДн требовалось уделить защите информационных систем, реализованных на платформе SAP, в том числе требовалась защита таких компонентов, как:

SAP HR — управление персоналом и расчёт заработной платы;
SAP BI — отраслевая и корпоративная отчетность;
SAP ERP — ведение отчетности, логистика, управление процессами техобслуживания и ремонта оборудования.


К решению, в том числе, были предъявлены следующие требования:

обеспечение целостности программных средств системы защиты персональных данных, обрабатываемой информации, а также неизменность программной среды;
периодическое тестирование функций системы защиты персональных данных при изменении программной среды и информации о пользователях;
наличие средств восстановления системы защиты персональных данных;
простота использования и обслуживания системы администраторами ИБ.
Для решения поставленных задач, подрядчиком на работы по созданию СЗПДн ООО «Газпром трансгаз Уфа» было выбрано ООО «Газинформсервис».



Решение



В ходе работ по проектированию СЗПДн был проведен поиск решения, которое реализует требования руководящих документов по созданию СЗПДн в информационных системах, создаваемых на платформе SAP. Частично данные требования могли быть реализованы встроенными возможностями технологической платформы SAP, однако ряд существенных требований оставался бы не закрытым.



В качестве средства защиты информации, обеспечивающего полную реализацию предъявленных требований, Заказчиком был выбран программный комплекс SafeERP, производства компании ООО «Газинформсервис». ПК SafeERP является сертифицированным программным средством защиты информационных систем, созданных на платформе SAP NetWeaver, обрабатывающих конфиденциальную информацию. Данный программный комплекс разработан на языке ABAP/4, который является внутренним языком платформы SAP. Основу комплекса составляют сервер управления и агенты, устанавливаемые в соответствующие SAP системы. Единая консоль позволяет администраторам ИБ эффективно контролировать соблюдение политики безопасности при использовании всех эксплуатируемых SAP систем. Применение ПК SafeERP не требуется локальной установки и развертывания сервера управления на отдельный физический сервер, что позволяет сократить расходы на инфраструктуру. Инсталляция производится на любую уже существующую SAP систему без существенного снижения ее производительности.



«Использование программного комплекса SafeERP позволило решить ряд серьезных задач по реализации требований регламентирующих документов к обработке персональных данных в информационных системах, созданных на платформе SAP.» Сергей Коловангин, руководитель группы департамента проектирования ООО «Газинформсервис».



SafeERP обеспечивает:

контроль целостности программных объектов систем SAP и собственных компонентов на основе механизма расчета контрольных сумм, реализующего поддержку различных международных и национальных криптографических стандартов;
централизованный сбор и просмотр событий SAP Security Audit Log;
централизованный сбор и просмотр изменений учетных записей пользователей, ролей и полномочий;
контроль параметров безопасности системы на соответствие эталонным значениям;
реализацию механизма категорирования событий безопасности.


Преимущества решения



Основным преимуществом ПК SafeERP является простота и удобство его установки и настройки. ПК SafeERP интегрирован в ABAP — стек, использует только документированные возможности SAP и не вносит никаких изменений в его стандартные модули.



Другим не менее важным преимуществом ПК SafeERP является то, что он не оказывает негативного влияния на существующие у Заказчика бизнес-процессы, автоматизированные при помощи платформы SAP, и не требует адаптации под конкретную SAP систему.



В настоящее время у администраторов информационной безопасности ООО «Газпром трансгаз Уфа» появился полноценный сертифицированный по требованиям законодательства РФ инструмент контроля за соблюдением политики информационной безопасности в используемых SAP системах. Для конечного пользователя — администратора ИБ, интерфейс ПК SafeERP реализован в виде графической консоли управления — отдельной транзакции, отображаемой через SAP GUI. Консоль управления ПК SafeERP позволяет централизованно проводить регистрацию и обработку событий ИБ со всех имеющихся SAP систем предприятия, что позволяет автоматизировать процессы контроля и значительно сократить время выявления и обработки событий ИБ.



«Благодаря гибкости и простоте инсталляции программного комплекса SafeERP, проект был реализован в кратчайшие сроки, с наименьшими затратами. Преимуществом данного программного комплекса также является низкий уровень стоимости владения, который обусловлен простотой его использования и оперативной поддержкой производителя. Применение в СЗПДн таких передовых средств защиты информации как ПК SafeERP ставит ООО «Газпром трансгаз Уфа» в один ряд с лидерами нефтегазового сектора России, в которых в полном объёме осуществлена защита персональных данных, в соответствии с законодательством РФ.» Вадим Кононенко, заместитель начальника СКЗ ООО «Газпром трансгаз Уфа».



В настоящее время СЗПДн ООО «Газпром трансгаз Уфа» находится в промышленной эксплуатации. Реализованный функционал ПК SafeERP ежедневно обрабатывает десятки тысяч событий информационной безопасности.



В результате комплекс реализованных мероприятий по защите персональных данных на платформе SAP с использованием ПК SafeERP позволил гарантировать сотрудникам и клиентам компании соблюдение их законных прав и интересов, что положительно сказывается на имидже ООО «Газпром трансгаз Уфа», как компании, находящейся на острие передовых технологий обеспечения информационной безопасности среди предприятий Группы Газпром.



Источник: gaz-is.ru