Как смарт-карты унифицируют доступ к системам в крупнейшей торговой сети

В прошлом году несколько российских ретейлеров (продуктовые сети, аптеки, фастфуд и сервисы доставки) одновременно жаловались на серьезные киберинциденты. Причина очевидна: в ретейле много ценных данных, сложная техническая инфраструктура (POS, кассы самообслуживания, мобильные приложения, сайты), а ИТ-ландшафт часто строится на сочетании старых и новых систем. Ретейлеры с широкой офлайн-сетью и развитым онлайн-каналом находятся под постоянным прицелом из-за высокой узнаваемости бренда и огромных клиентских баз, которые делают их привлекательной целью для кибератак. В рознице давно нет «маленьких» инцидентов, поскольку любой крупный сбой быстро превращается в финансовую, репутационную и регуляторную проблему, особенно если затронуты персональные данные.

При этом ценность ИБ для ретейла давно вышла за рамки темы утечек. Информационная безопасность становится частью модели управления выручкой и издержками. Выбранные меры защиты напрямую влияют на скорость обслуживания, время открытия смен, гибкость в управлении персоналом.

Сегодня зрелые розничные сети смотрят на ИБ через призму трех вопросов: удержание выручки, доступность систем и управляемость персонала. На этом фоне логично, что ретейл движется от паролей и разрозненных карт к единому физическому носителю с несколькими функциями.

О клиенте

Крупная розничная сеть спортивных товаров и одежды столкнулась с типичными для распределенного бизнеса проблемами: большая территориальная распределенность, низкая прозрачность операций, долгая авторизация сотрудников и риски из-за передачи паролей. Чтобы решить эти вопросы, компания выбрала смарт-карты Рутокен как единый носитель для контроля информационной и физической безопасности.

Задачи проекта

До проекта сотрудники пользовались отдельными картами для системы контроля и управления доступом (СКУД), картами с магнитной полосой для активации касс и паролями для входа в корпоративные системы. Разрозненность в инструментах создавала неудобства для персонала, повышала риск несанкционированной передачи данных и затрудняла контроль действий сотрудников, прежде всего кассиров. Кроме того, отсутствовал единый и безопасный механизм организации внутреннего электронного документооборота (ЭДО) между подразделениями.

Перед проектом были поставлены следующие ключевые задачи:

• централизовать и унифицировать процессы идентификации и доступа сотрудников к кассовому оборудованию, внутренним информационным системам и объектам инфраструктуры,
• внедрить защищенный электронный документооборот,
• автоматизировать процессы авторизации и повысить прозрачность действий персонала,
• сократить количество ручных операций.

Решение

В пользу смарт-карт Рутокен сыграли три фактора: проверенный опыт в крупных розничных сетях, работа с отечественными алгоритмами шифрования и технологическая возможность объединить в одном носителе доступ к корпоративным системам (с двухфакторной аутентификацией), кассам, ЭДО и СКУД.

Как это работает

Смарт-карта Рутокен — это пластиковый пропуск со встроенным чипом, который совмещает двухфакторную аутентификацию, электронную подпись и RFID для прохода.  Все секреты хранятся прямо в чипе и никогда не покидают карту — украсть их программно не получится. Чтобы войти в систему, подписать документ или пройти через дверь, достаточно просто приложить карту к считывателю.

Ключевые эффекты от внедрения многофункциональных смарт-карт

Комплексный проект охватил кассовые терминалы, внутренние информационные системы и СКУД. Смарт-карты были интегрированы в существующую ИТ-инфраструктуру быстро и без массовой замены оборудования.

• Единая персональная карта 
  Одна карта привязана к конкретному человеку и используется на кассе, в корпоративных информационных системах и СКУД, что устраняет практику общих учетных записей.
   
• Быстрая авторизация на POS
  Магнитная полоса или бесконтактный интерфейс позволяют открывать смену и входить в кассовое приложение за секунды без ручного ввода паролей.
   
• Точное журналирование действий
  Каждая операция на кассе и в информационной системе связывается с конкретным носителем и сотрудником, что упрощает расследование спорных операций и снижает соблазн «одолжить» чужие учетные данные.
   
• Безопасный ЭДО
  Электронная подпись на карте позволяет перевести юридически значимые процессы в цифровой формат.
   
• Упрощенное обучение
  Новичкам достаточно выучить один сценарий доступа вместо набора разрозненных процедур.

Таким образом смарт-карта Рутокен превратилась в полноценное электронное удостоверение сотрудника, работающее как на ИТ-уровне (доступ к системам, подписание документов), так и на физическом (проход в помещения, активация кассы). Такое объединение информационной и физической безопасности в одном инструменте для проектов в ретейле представляет собой редкое и технологически сложное решение в сфере ИБ.

Результаты внедрения

На текущий момент в эксплуатацию введено

• более 7 тыс. персонализированных смарт-карт,
• более 2 тыс. считывателей смарт-карт.

Основные итоги проекта:

• повышена прозрачность и усилен контроль действий сотрудников на кассах и в информационных системах,
• ускорен процесс авторизации и открытия касс в начале рабочего дня,
• снижены риски, связанные с передачей и компрометацией паролей,
• обеспечена надежная аутентификация сотрудников во всех системах компании,
• упрощено обучение новых сотрудников за счет единого стандарта доступа,
• усилена устойчивость бизнеса к киберинцидентам.

Универсальная карта доступа сотрудника
Источник: Компания Актив

Перспективы

Смарт-карты Рутокен — это не просто защищенный физический носитель, а удобный повседневный инструмент, выполненный в корпоративном стиле. Продукт легко и бесшовно интегрируется с различными информационными системами, что позволяет расширять его функциональность.

Проект крупной розничной сети подтвердил, что смарт-карты способны ежедневно выполнять несколько разных задач без потери качества. Положительные результаты убедили ретейлера масштабировать решение на филиалы по всей России в рамках долгосрочной цифровизации. В приоритете компании теперь — более глубокая интеграция с внутренними системами и поиск новых сценариев применения устройств.