Ozon применяет принципы «безопасности по умолчанию» и Bug Bounty для защиты данных
В годовом отчете за 2024 год Ozon представил итоги работы по направлению кибербезопасности: компания развивает многоуровневую систему защиты данных и применяет принципы «безопасности по умолчанию».
Компания Ozon последовательно внедряет принципы «безопасности по умолчанию» и развивает многоуровневую систему защиты данных, отмечено в годом отчете компании, основные положения которого представлены в материал SecPost. По данным отчета, за год компания выявила 22,3 тыс. фишинговых сайтов и пресекла 26 тыс. случаев онлайн-мошенничества. Утечек персональных данных, по информации Ozon, не зафиксировано.
Кибербезопасность обозначена в документе как одно из приоритетных направлений корпоративного управления. Все ИТ-сервисы и инфраструктура находятся под круглосуточным мониторингом, а регулярные аудиты, стресс-тесты и киберучения позволяют своевременно выявлять уязвимости и повышать устойчивость платформы.
Для контроля рисков Ozon внедрил процедуру оценки уровня кибербезопасности подрядчиков и ограничил доступ к корпоративным ресурсам по принципу минимальных прав.
В компании запущено обучение по теме информационной безопасности не только для сотрудников, но и для курьеров, а также сотрудников пунктов выдачи заказов. Для работников складов разработали обучение на разных языках. Программу обучения по цифровой гигиене в 2024 году прошли 2400 человек.
В компании также развивается взаимодействие с исследователями безопасности. В 2024 году в рамках программы Bug Bounty Ozon выплатил 12 млн рублей вознаграждений за найденные уязвимости. На фоне роста фишинговых атак компания усилила мониторинг бренда в сети и заблокировала более 22 тыс. поддельных сайтов.
Источник: Годовой отчет Ozon за 2024 год.
В отчете подчеркивается, что система киберзащиты строится на принципах «безопасности по умолчанию» (Secure by Default) и «конфиденциальности по проекту» (Privacy by Design). Эти подходы предусматривают внедрение механизмов защиты уже на этапе проектирования сервисов и бизнес-процессов, а обработка данных строится по принципу минимизации и контроля со стороны пользователя. Контроль за исполнением политики безопасности осуществляется на уровне руководства компании.
