Компания FTCO существенно сократила количество ложноположительных срабатываний с помощью Invicti

Отрасль: Fintech

Компания: FTCO (входит в PSI Group)

Локация: Кипр

“Благодаря Invicti мы существенно сократили количество ложноположительных срабатываний, оптимизировали процесс устранения уязвимостей и теперь можем генерировать отчеты для подтверждения соответствия стандартам PCI DSS и другим нормативным требованиям”

Eugene Fateev

ведущий специалист по кибербезопасности, PSI Group

О компании

PSI Group через свою дочернюю компанию FTCO и другие предприятия разрабатывает и обслуживает white-label решения Fintech. Работая в жестко регулируемой финансовой среде, PSI Group обязана соблюдать строгие требования, в частности PCI DSS, DORA, GDPR, а также финансового законодательства Великобритании. Безопасность для компании не является обычной необходимостью в бизнесе, а представляет критически важную основу для защиты клиентов и сохранения их доверия. Компания использует гибридную инфраструктуру, охватывающую локальные дата-центры, а также платформы Azure и AWS. Поскольку основу бизнеса составляют платежные приложения для конечных пользователей, PSI Group нуждалась в решении по безопасности, способном масштабироваться вместе с этой сложной инфраструктурой и одновременно обеспечивать стабильные и надежные результаты.

Вызов: Масштабирование безопасности за пределы open-source инструментов

Как компания Fintech, PSI Group в значительной степени полагается на веб-приложения как на основной интерфейс для взаимодействия с клиентами. Поскольку большинство из этих приложений доступны из интернета, они подвергаются значительным киберугрозам. Наличие уязвимости или взлом системы безопасности может привести к серьезным последствиям, в частности к финансовому мошенничеству, утечке данных, репутационным убыткам, штрафам от регуляторов и потере доверия клиентов.

До внедрения Invicti PSI Group не имела специализированного корпоративного решения DAST и для защиты своих приложений использовала сканеры open-source. Хотя эти инструменты были полезными для базового тестирования, во время масштабирования они начали создавать серьезные «узкие места»:

Высокий процент ложноположительных срабатываний замедлял процесс устранения уязвимостей.
Отсутствие автоматизации требовало ручного вмешательства на каждом этапе.
Отсутствие интеграции с существующими системами и инфраструктурой.
Отсутствие поддержки уровня энтерпрайз и отчетов для подтверждения соответствия.

“Используя open-source инструменты, мы часто сталкивались с ложноположительными срабатываниями. Отсутствие автоматизации и поддержки уровня энтерпрайс тормозило процесс устранения уязвимостей и приводило к напрасной потере ценного времени”

Решение: DAST корпоративного уровня от Invicti

PSI Group внедрила решение Invicti для динамического тестирования безопасности приложений (DAST). Сначала компания использовала локальную версию, а сейчас переходит на облачную платформу Invicti. Процесс внедрения прошел беспрепятственно благодаря четким инструкциям и практическим примерам от технической команды Invicti.

Решение Invicti было интегрировано в жизненный цикл безопасной разработки программного обеспечения (SDLC) PSI Group, что обеспечило автоматизацию и прозрачность процесса управления уязвимостями. Улучшенная точность сканирования с помощью технологии сканирования на основе доказательств существенно уменьшила количество ложноположительных срабатываний, что позволило ускорить устранение угроз и сделать отчеты более точными.

“Процесс внедрения прошел беспрепятственно, а те незначительные трудности, которые возникали, решались очень быстро. Команда поддержки Invicti предоставляла четкие объяснения и практические примеры, что обеспечило успешную интеграцию”

Результат: Эффективность, комплаенс и прозрачность

Решение DAST от Invicti теперь является фундаментальным компонентом системы безопасности PSI Group. Оно играет критическую роль в обеспечении соответствия таким нормативным актам, как PCI DSS, DORA и GDPR. DAST помогает выявлять уязвимости еще до развертывания и поддерживает процессы непрерывного тестирования безопасности.

С момента внедрения Invicti компания PSI Group получила ряд существенных преимуществ:

Масштабируемость и эффективность: Автоматизированное сканирование и технология сканирования на основе доказательств избавили от необходимости тратить часы на ручную проверку. Это экономит как минимум 20 часов в месяц и значительно оптимизирует процесс устранения уязвимостей.
Улучшенный комплаенс: Invicti предоставляет готовые «out-of-the-box» отчеты, адаптированные под требования PCI DSS, GDPR и другие нормативы, что значительно упрощает прохождение аудитов.
Высокая прозрачность в различных средах: Поскольку гибридная инфраструктура охватывает как облачные, так и локальные серверы, DAST от Invicti обеспечивает PSI Group целостным взглядом на риски извне еще до развертывания приложений.
Меньше ложноположительных срабатываний: Теперь разработчики сосредотачиваются на исправлении реальных уязвимостей, которые можно эксплуатировать, вместо того, чтобы тратить время на анализ «информационного шума».

“С момента внедрения Invicti тесты на проникновение показывают меньше выявленных проблем, поскольку уязвимости выявляются раньше в SDLC, что уменьшает усилия, необходимые во время пентестинга.”

Взгляд в будущее

Invicti стала неотъемлемой частью стратегии безопасности PSI Group, позволяя компании улучшить свое состояние безопасности, соответствовать нормативным требованиям и эффективно защищать свои веб-приложения. Используя возможности Invicti, PSI Group продолжает укреплять свою структуру кибербезопасности, обеспечивая более защищенные и надежные финтех-решения для своих клиентов. Следующие шаги группы в изучении возможностей Invicti включают рассмотрение обнаружения и сканирования API для усиления усилий по гарантированирю безопасности API.