12-miesięczny program testów penetracyjnych dla ING Banku Śląskiego

Klient

ING Bank Śląski S.A. — jedna z największych i najbardziej innowacyjnych instytucji finansowych w Polsce, obsługująca miliony klientów indywidualnych i korporacyjnych.

Wyzwanie

Jako instytucja zaufania publicznego bank stawia najwyższy priorytet na bezpieczeństwo danych, stabilność systemów i zgodność z międzynarodowymi standardami bezpieczeństwa. W obliczu rosnących zagrożeń cyberprzestępczością i nowych regulacji UE (DORA) ING Bank Śląski nawiązał współpracę ze Zdalnym Adminem w celu przeprowadzenia kompleksowych testów bezpieczeństwa. Przed rozpoczęciem prac bank musiał mieć pewność, że powierza swoje bezpieczeństwo partnerowi o najwyższych standardach — wstępna weryfikacja, przeprowadzona przez dwa departamenty bezpieczeństwa ING, objęła nasze procedury, bezpieczeństwo przetwarzania danych i kwalifikacje zespołu.

Zakres prac

• Projekt objął roczny cykl testów penetracyjnych infrastruktury krytycznej i aplikacji webowych
• Metodyka black-box: bez specjalistycznej wiedzy o wewnętrznym kodzie i infrastrukturze — symulacja działań zewnętrznych cyberprzestępców
• Weryfikacja pod kątem OWASP Top 10 najczęstszych zagrożeń webowych oraz wektorów ataku specyficznych dla bankowości
• Zgodność ze standardem OWASP Application Security Verification Standard (ASVS) oraz wymogami rozporządzenia DORA (Digital Operational Resilience Act)
• Ocena procedur, bezpieczeństwa przetwarzania danych i kwalifikacji zespołu

Jak przebiegała współpraca

Efekty i wartość dla klienta

W ciągu rocznej współpracy zespół wykazał się wysoką skutecznością w identyfikowaniu zagrożeń, które mogły narazić bank na straty finansowe lub wizerunkowe. Wykryto podatności Critical i High (według klasyfikacji CVSS), w tym potencjalną nieuprawnioną eskalację uprawnień i dostęp do danych wrażliwych. Wszystkie zgłoszone podatności zweryfikowano pod kątem OWASP Top 10 najczęstszych zagrożeń webowych oraz wektorów ataku specyficznych dla bankowości. Bank uzyskał pełne testy zgodne z OWASP oraz gotowość na wymogi operacyjnej odporności cyfrowej DORA stawiane przez organy nadzoru.

Projekt zwieńczyło wystawienie przez ING Bank Śląski oficjalnych referencji dla Zdalnego Admina, potwierdzających profesjonalizm, terminowość i wysoką jakość techniczną przeprowadzonych audytów.