Cyberbezpieczeństwo

Zakres naszych prac stanowi najczęściej kombinację następujących usług w trzech głównych obszarach:

Aplikacje

• Testy penetracyjne aplikacji (webowych, mobilnych, typu „gruby klient”)
• Przeglądy kodu źródłowego aplikacji
• Audyt bezpieczeństwa systemów ERP
• Ocena projektu systemu z perspektywy bezpieczeństwa
   

Infrastruktura

• Analiza architektury bezpieczeństwa
• Wewnętrzne i zewnętrzne testy podatności oraz testy penetracyjne
• Przegląd konfiguracji bezpieczeństwa elementów infrastruktury
• Analiza bezpieczeństwa urządzeń (IoT/IIoT)
• Testy bezpieczeństwa fizycznego
   

Ludzie

• Analiza dojrzałości procesów i organizacji bezpieczeństwa
• Przegląd zgodności organizacji i procesów z obowiązującymi regulacjami
• Weryfikacja podatności pracowników na ataki socjotechniczne
• Weryfikacja skuteczności funkcji monitorowania bezpieczeństwa i reagowania na incydenty

Testy penetracyjne systemów IT oraz aplikacji

W dobie powszechnej cyfryzacji, bezpieczeństwo systemów IT jest jednym z najważniejszych wyzwań stojących przed każdą firmą. Symulowane ataki na systemy komputerowe pomagają znaleźć luki w aplikacjach i infrastrukturze sieciowej, zanim odkryją je prawdziwi przestępcy. Sprawdź, jak tzw. testy penetracyjne mogą podnieść poziom bezpieczeństwa Twojej firmy.

Zapewnienie zgodności z Dyrektywą NIS2 (Network and Information Systems Directive 2)

Dyrektywa NIS2 ma zostać włączona do polskiego systemu prawnego do 17 października 2024 roku. Wymaga ona wdrożenia spójnego systemu zarządzania cyberbezpieczeństwem w przedsiębiorstwach działających w branżach istotnych dla gospodarki, a ich ilość będzie większa niż aktualnie ustanawia Ustawa o Krajowym Systemie Cyberbezpieczeństwa. Brak zgodności z Dyrektywą NIS2 skutkował będzie ryzykiem wysokich kar finansowych – dochodzących nawet do 2% całkowitych obrotów firmy. Dyrektywa wprowadza również odpowiedzialność osobistą dla członków zarządów w przypadku rażących zaniedbań.

Zapewniamy efektywne kosztowo budowanie organizacji, procesów oraz środków technicznych pozwalających na skuteczne podniesienie poziomu bezpieczeństwa:

Rozwiązania organizacyjno-procesowe

• Budowanie strategii bezpieczeństwa
• Wdrażanie programów budowania świadomości pracowników w zakresie cyberzagrożeń
• Opracowanie architektury bezpieczeństwa
• Wdrażanie i optymalizacja systemów zarządzania cyberbezpieczeństwem
• Zarządzanie bezpieczeństwem w relacjach z dostawcami
• Organizacja zespołów SOC (Security Operations Center)
• Zapewnienie ciągłości działania
• Włączanie bezpieczeństwa w procesy wytwarzania oprogramowania
   

Wsparcie w wyborze i wdrożeniu systemów bezpieczeństwa

• Zabezpieczenie przed wyciekami danych (DLP, DAM)
• Zarządzanie dostępem i tożsamością (IDM, PIM)
• Ochrona przed złośliwym oprogramowaniem (ATP)
• Systemy monitorowania bezpieczeństwa (SIEM)
• Zabezpieczenia rozwiązań chmurowych
• Ochrona aplikacji (WAF)
• Ochrona urządzeń mobilnych (MDM)
• Rozwiązania PKI

Zarządzanie dostępem uprzywilejowanym (PAM)

Obecnie, biorąc pod uwagę rozwój technologiczny i możliwości zaawansowanej analizy danych, informacja jest jednym z najistotniejszych dóbr każdej organizacji. Jej skuteczna ochrona i umiejętne nią gospodarowanie to wielkie wyzwanie, dlatego tak ważne jest zarządzanie dostępem uprzywilejowanym do danych. Wykorzystując autorską metodologię wdrożeń systemów do zarządzania dostępem uprzywilejowanym oraz współpracując z naszymi Partnerami, świadczymy kompleksowe usługi w tym zakresie.

Zarządzanie tożsamością i dostępem (IAM)

Firmy chcące odpowiednio chronić dostęp do wrażliwych informacji muszą mierzyć się z ryzykami związanymi z zachowaniem zgodności z regulacjami oraz możliwymi nadużyciami przy oczywistej presji dochodowości działań organizacji. We współpracy z największymi światowymi organizacjami opracowaliśmy usługę wsparcia w zmniejszeniu ryzyka wycieków związanych z tożsamością.

Kompleksowo wspieramy przedsiębiorstwa przed, w trakcie i po cyberataku:

Przygotowanie

• KPMG pomaga ograniczać szkody wynikające z naruszeń bezpieczeństwa poprzez przygotowanie organizacji na skuteczną detekcję oraz reakcję na incydenty.
• W okresie przygotowawczym identyfikuje się kluczowe systemy, poufne informacje i istotne osoby w organizacji. Przeprowadza się analizę ryzyka i wpływu różnych rodzajów cyberataków na przedsiębiorstwo.
• KPMG oferuje wszechstronne wsparcie w zakresie testowania planów detekcji i reakcji na incydenty, obejmujące dopasowane ćwiczenia Tabletop oraz CTF, a także pomoc w optymalizacji procesów, implementacji narzędzi, wyborze strategicznych partnerów oraz szkoleniu personelu.
   

Reakcja

• KPMG to pewny partner w incydentach cyberbezpieczeństwa. Zapewniamy zabezpieczenie danych, analizę plików i logów oraz zarządzanie incydentami, aby skutecznie pomóc naszym klientom w radzeniu sobie z zagrożeniami.
• KPMG oferuje usługi pilnej reakcji na incydent 24/7. Przed rozpoczęciem projektów, zapewniony jest onboarding klienta, by poznać infrastrukturę i systemy bezpieczeństwa, gwarantując skuteczną reakcję na incydenty w przyszłości.
• Globalni klienci wybierają KPMG ze względu na  kluczowy czas reakcji i profesjonalną pomoc. Wykwalifikowani specjaliści KPMG są dostępni w przeciągu zaledwie 4 godzin lub krócej, a lokalnie zapewniamy wsparcie  w ciągu 24-48 godzin w większości krajów.
   

Działania powłamaniowe

• W następstwie cyberincydentu ważne jest, aby ustalić czy przyczyny tego zdarzenia zostały prawidłowo zidentyfikowane, a środki mitygujące odpowiednio wdrożone. W przypadku naruszenia danych osobowych, mogą obowiązywać prawne zobowiązania do zgłoszenia incydentu do regulatora.
• KPMG pomaga klientom w zrozumieniu głównych przyczyn incydentów, ocenie skuteczności stosowanych środków mitygujących oraz wspiera w komunikacji z regulatorem. KPMG rekomenduje dodatkowe środki mitygujące oraz wsparcie ekspertów w celu rozwiązania zidentyfikowanych problemów.
• KPMG jest gotowe zapewnić klientom tymczasowe wsparcie w celu wzmocnienia monitorowania oraz wykrywania i reagowania na zagrożenia w ramach usługi Post Breach monitoring, biorąc pod uwagę ryzyko utrzymania przez atakujących ciągłego dostepu do infrastruktury.

Wraz z rosnącą popularnością rozwiązań chmurowych oraz globalizacją systemów, procesów i łańcuchów dostaw, w połączeniu z rozpowszechnieniem mediów społecznościowych i urządzeń mobilnych, coraz więcej danych klientów jest gromadzonych, przechowywanych, ujawnianych i przekazywanych na całym świecie. Niezwykle istotne jest, aby były one wykorzystywane w najbardziej odpowiedni sposób.

Biorąc pod uwagę zmieniający się charakter organizacji w wyniku fuzji i przejęć, restrukturyzacji organizacyjnej, wdrożeń nowych systemów oraz złożonego i ewoluującego otoczenia regulacyjnego, ochrona danych wyrasta na jedno z trudniejszych i bardziej wymagających wyzwań, stojących obecnie przed organizacjami.

Audyt podmiotu przetwarzającego

Zapewnienie wysokich standardów ochrony danych osobowych to jeden z kluczowych elementów budowania przewagi konkurencyjnej. Niejednokrotnie powierzenie przetwarzania może wywierać korzystny wpływ na poziom ochrony danych - warunkiem jest jednak dokonanie gruntownej weryfikacji potencjalnego procesora i korzystanie jedynie z usług podmiotu dającego gwarancje należytej ochrony danych.

Audyt zgodności z RODO

Przeprowadzenie kompleksowego audytu zgodności z RODO umożliwia pozyskanie wiedzy o poziomie zgodności organizacji z przepisami ogólnego rozporządzenia o ochronie danych osobowych oraz ekspozycji firmy na ryzyko wynikające z ewentualnych nieprawidłowości w tym zakresie, w szczególności ryzyko poniesienia kary finansowej z tytułu stwierdzonych nieprawidłowości.

Monitorowanie stosowania Kodeksu postępowania dla sektora ochrony zdrowia

Jako jeden z pierwszych podmiotów w Polsce KPMG odpowiada za monitorowanie przestrzegania Kodeksu postępowania dla sektora ochrony zdrowia. Nasze wysokie standardy niezależności, odpowiedni poziom wiedzy fachowej oraz skuteczność procedur zostały potwierdzone przez Prezesa Urzędu Ochrony Danych Osobowych w procesie akredytacji. KPMG odpowiada za przyjmowanie nowych podmiotów w poczet członków kodeksu oraz za ich właściwą weryfikację i nadzór w ramach przeprowadzanych audytów, w zgodzie z postanowieniami kodeksu, przepisami o ochronie danych osobowych, zaleceniami organu nadzorczego i dobrymi praktykami.