Cyberbezpieczeństwo

Kwestie bezpieczeństwa informatycznego są w Grupie PZU traktowane z ogromną starannością i uwagą. W całej firmie funkcjonuje i jest rozwijany wielowarstwowy system ochrony przeciw zagrożeniom cyberbezpieczeństwa.

W 2018 roku uruchomiono specjalną platformę szkoleniową GoPhish, która w przystępny sposób wyjaśniała zagrożenia płynące z wiadomości m.in. zawierających złośliwe elementy oraz nakłaniających do otwarcia podejrzanych stron. Dodatkowo zorganizowane zostały dwie kampanie, w których pracownikom, nieopatrznie otwierającym link do spreparowanych wiadomości, wyświetlał się film szkoleniowy Biura Bezpieczeństwa z informacją, jak unikać takich zagrożeń na przyszłość.

W 2018 roku zawarto umowę na zakup technologii Infoblox w zakresie możliwości monitorowania i ochrony kanału DNS (Domain Name System). Przeprowadzono również rozbudowę systemu WAF (Web Application Firewalls) przeznaczonego do ochrony aplikacji webowych oraz systemu PIM (Priviledged Identity Management) przeznaczonego do zarządzania kontami uprzywilejowanymi oraz monitorowania działań użytkowników uprzywilejowanych oraz dostawców zewnętrznych w systemach informatycznych w celu zapewnienia rozliczalności dostępu do systemów, w szczególności z wykorzystaniem kont współdzielonych.

W spółce PZU, spółkach Grupy Pekao, a także w kilku spółkach zagranicznych wdrożono procedury zarządzania bezpieczeństwem procesów informatycznych. W PZU Zdrowie i spółkach zależnych w tym obszarze zaimplementowano pakiet regulacji dotyczących przetwarzania danych osobowych, w tym polityki bezpieczeństwa zawierające wymagania dotyczące procesów IT. Z kolei w PTE PZU wprowadzono wytyczne dotyczące zarządzania obszarami technologii informacyjnej i bezpieczeństwa środowiska teleinformatycznego w powszechnych towarzystwach emerytalnych wydane przez KNF.

W 2018 roku w spółkach Grupy PZU zarejestrowano 1296 incydentów w zakresie udostępnienia danych bez zgody podmiotu. Z tego 771 miało miejsce w Grupie Pekao, 457 w LINK4, 19 w Grupie Alior oraz 41 w spółkach zagranicznych, a osiem w pozostałych spółkach Grupy w tym w PZU, PZU Życie oraz PZU Zdrowie i spółkach zależnych. Incydenty dotyczyły ujawnienia danych osobowych i danych objętych tajemnicą bankową lub ubezpieczeniową osobom nieuprawnionym. Związane były z przesłaniem korespondencji mailowej na niewłaściwy adres do osób nieuprawnionych i w większości wynikały z błędów ludzkich. W 2018 roku do PZU oraz PZU Życie zostały złożone trzy skargi przez podmioty zewnętrzne. Skargi dotyczyły udostępnienia danych bez zgody podmiotu i zostały uznane przez organizację.

Wszystkie incydenty zostały poddane analizie, co pozwoli na udoskonalenie procesów.

Cyberbezpieczeństwo w 2018 roku:

Walka z nowymi formami ataków internetowych wymaga nieustannej aktualizacji wiedzy. Dlatego pracownicy odpowiedzialni za bezpieczeństwo informatyczne PZU cały czas rozwijają swoje umiejętności. W 2018 roku eksperci PZU uczestniczyli w 11 szkoleniach, 10 konferencjach i dwóch warsztatach. Uzyskano certyfikacje: Certified Ethical Hacker, Continuous Monitoring Certification (GMON), Cisco CCNA Cyber Ops.

Testy systemów informatycznych

Wdrażanie i sprzedaż produktów oraz dostosowywanie oferty do zmieniających się potrzeb klientów stanowi ogromne wyzwanie dla systemów informatycznych Grupy. Aby zmiany przebiegały płynnie i nie zakłócały obsługi klientów, w organizacji wypracowano powtarzalną procedurę informatyczną zakładającą możliwie szeroki zestaw testów i weryfikacji. Procedura gwarantuje wczesne wykrywanie zagrożeń i ewentualnych problemów oraz odpowiednie nimi zarządzanie.