CRM системи от гледна точка на киберсигурността: защита или заплаха?

31 март — международен ден на резервното копиране, а седмицата преди него винаги е пълна с истории, свързани с безопасността. В понеделник вече разбрахме за компрометирания Asus и „трима неназовани производители“. Особено суеверните компании прекарват цялата седмица на тръни, правят резервни копия. А всичко това е, защото всички ние сме малко небрежни по отношение на безопасността: някой забравя да се закопчае на задната седалка, някой игнорира срока на годност на продуктите, някой съхранява логин и парола под клавиатурата, а още по-добре записва всички пароли в бележник. Някои личности успяват да деактивират антивирусите, „за да не забавят компютъра“, и не използват разделяне на правата за достъп в корпоративните системи (какви тайни в компания с 50 човека!). Вероятно човечеството просто не е развило инстинкта за кибер-самосъхранение, който, по принцип, може да стане новият основен инстинкт.

Бизнесът също не е развил такива инстинкти. Прост въпрос: CRM системата е заплаха за информационната безопасност или инструмент за осигуряване на безопасност? И малко вероятно някой да може веднага да отговори точно. Тук трябва да започнем, както ни учиха на часовете по английски: it depends… Това зависи от настройките, формата на доставката на CRM, навиците и вярванията на доставчика, степента на безразличие на служителите и изобретателността на злонамерените лица. В края на краищата, всичко може да бъде хакнато. Как да живеем с това?

Такава е информационната безопасност в малкия и среден бизнес. Из ЖЖ

CRM системата като защита

Защитата на данните за търговската и оперативната дейност и надеждното съхранение на клиентската база е една от основните задачи на CRM системата, и в това тя е важна на всяка цена в сравнение с всяко друго приложимо софтуерно приложение в компанията.

Вероятно сте започнали да четете тази статия и дълбоко в душата си се усмихнахте, мислейки си: „Кому е нужна информацията ми?“ Ако е така, вероятно не сте се занимавали с продажби и не знаете колко търсени са „живите“ и качествени клиентски бази и информация за методите за работа с тази база. Съдържанието на CRM системата е интересно не само за ръководството на компанията, но и за:  

• Злонамерени лица (по-рядко) — те имат цел, свързана именно с вашата компания, и ще приложат всички ресурси, за да получат данните: подкупване на служители, хакване, закупуване на вашите данни от мениджъри, интервюта с мениджъри и т.н.
• На служителите (в по-голямата част) може да се разчита, че ще играят ролята на вътрешни информатори за вашите конкуренти. Те просто са готови да откраднат или продадат клиентската база с цел лично облагодетелстване.
• На хакерите любители (изключително рядко) — можете да станете жертва на пробив в облака, където се съхраняват вашите данни, или да бъдете хакнати в мрежата, а може и някой просто от любопитство да иска да 'извади' вашите данни (например, информация за търговците на фармацевтични и алкохолни продукти — просто за да види какво има).

Ако някой получи достъп до вашата CRM, той ще получи достъп до вашите оперативни дейности, тоест до масива от данни, с които реализирате по-голямата част от печалбата. И в момента, в който злонамереното лице получи достъп до CRM-системата, печалбата започва да носи усмивка на онзи, който е в ръцете на клиентската база. Или на неговите партньори и клиенти (тоест — нови работодатели).

Добра, надеждна CRM система може да покрие тези рискове и да предостави още много приятни бонуси в сферата на сигурността.

И така, какво умее CRM-системата в отношение на сигурността?

(разказваме на примера RegionSoft CRM, защото не можем да отговаряме за другите)

• Двуфакторна автентикация с използване на USB-ключ и парола. RegionSoft CRM поддържа режим на двуфакторна автентикация на потребители при вход в системата. В този случай, освен въвеждането на парола, е необходимо да се включи USB-ключ в USB порта на компютъра, който е бил инициализиран предварително. Режимът на двуфакторна автентикация помага да се подсигурите срещу кражба или изтичане на паролата.

Кликабелно

• Стартиране от доверени IP-адреси и MAC-адреси. За осигуряване на повишена сигурност можете да ограничите достъпа на потребителите единствено до регистрирани IP-адреси и MAC-адреси. Като IP-адреси могат да се използват както вътрешни IP-адреси в локалната мрежа, така и външни адреси, ако потребителят се свързва дистанционно (чрез интернет).
• Доменна автентикация (автентикация на Windows). Системата може да бъде настроена така, че при вход да не се изисква въвеждане на парола на потребителя. В такъв случай се извършва автентикация на Windows, която определя потребителя с помощта на WinAPI. Системата ще бъде стартирана под потребителя, под чийто профил в момента на стартиране на системата работи компютърът.
• Още един механизъм — това е приватни клиенти. Частните клиенти са клиенти, които могат да бъдат виждани само от техния куратор. В списъците на другите потребители тези клиенти няма да се показват, дори и ако другите потребители имат пълен набор от разрешения, включително и административни права. Така може да се защити, например, група от особено важни клиенти или група по друг признак, която ще бъде поверена на надежден мениджър.
• Механизмът за разделяне на правата за достъп е стандартната и основна мярка за защита в CRM. За да се опрости процесът на администриране на правата на потребителите, в RegionSoft CRM правата не се назначават на конкретни потребители, а на шаблони. След това на самия потребител се назначава даден шаблон, който притежава определен набор от права. Това позволява на всеки служител — от новак и стажант до директор — да назначи пълномощията и правата за достъп, които ще им позволят/не позволят достъп до конфиденциална информация и важни търговски данни.
• Система за автоматично архивиране на данни (бекъпи), конфигурируема с помощта на сценариев сървър RegionSoft Application Server.

Това е реализация на сигурността на примера на единствена система, всеки вендор има свои политики. Въпреки това CRM системата наистина защитава вашата информация: можете да видите кой и в колко часа е изтеглил даден отчет, кой е преглеждал какви данни, кой е правил експорти и много други. Дори ако разберете за уязвимост след факта, няма да оставите постъпката безнаказана и лесно ще изчислите служителя, който е злоупотребил с доверието и лоялността на компанията.

Расслабили ли сте се? Все още е рано! Тази защита при небрежно отношение и игнориране на проблемите със защитата на данни може да се обърне срещу вас.

CRM системата като заплаха

Ако във вашата компания има поне едно PC, това вече е източник на киберзаплахи. Следователно, степента на заплаха нараства с увеличаването на броя на работните станции (и служителите) и с разнообразието на инсталирания и използван софтуер. И с CRM системите нещата не са прости — това е програма, предназначена да съхранява и обработва най-важния и ценен актив: клиентската база и търговската информация, а ние разказваме страшни истории за нейната сигурност. Всъщност, не всичко е толкова мрачно и при правилно отношение, CRM системата ще ви донесе само полза и сигурност.

Какви са признаците на опасна CRM система?

Нека започнем с малка екскурзия в основите. CRM системите могат да бъдат облачни и десктопни. Облачните са тези, чиято база данни (БД) не се намира във вашата компания, а в частно или публично облако в някой дата център (например, вие сте в Челябинск, а вашата база работи в супер модерен ЦОД в Москва, защото такова е решението на вендора на CRM и той има договор именно с този доставчик). Десктопните (те също се наричат on-premise или сървърни — което не е съвсем вярно) базират своята БД на вашите собствени сървъри (не, не си представяйте огромна сървърна с скъпи стелажи, най-често в малкия и средния бизнес това е единствен сървър или дори обикновен PC с модерна конфигурация), т.е. физически се намират във вашия офис.

Неоторизиран достъп може да бъде получен до CRM от двата типа, но скоростта и простотата на достъпа са различни, особено ако говорим за СМБ, които не полагат много усилия за информационна сигурност.

Признак на опасност №1

Причината за по-високата вероятност от проблеми с данните в облачната система са отношенията, свързващи няколко звена: вие (наемател на CRM) — вендор — доставчик (понякога може да има по-дълга версия: вие — вендор — IT аутсорсър на вендора — доставчик). 3-4 звена в отношенията имат повече рискове от 1-2: проблем може да възникне на страна на вендора (изменение на договора, неплащане на услугите на доставчика), на страна на доставчика (форс-мажор, хакване, технически проблеми), на страна на аутсорсъра (смяна на мениджър или инженер) и т.н. Разбира се, големите вендори се стремят да имат резервни ЦОД, да управляват рисковете и да имат свой отдел DevOps, но и това не изключва проблеми.

Десктопната CRM обикновено не се наема, а се придобива от компанията, следователно отношенията изглеждат по-просто и прозрачно: вендорът по време на внедряване на CRM настройва необходимите нива на сигурност (от разпределение на права за достъп и физически USB ключ до изграждане на сървър в бетонна стена и т.н.) и предава управлението на компанията-собственик на CRM, която може да увеличи защитата, да наеме системен администратор или да се обърне при необходимост към своя доставчик на софтуер. Проблемите се свеждат до работа с служители, защита на мрежата и физическа защита на информацията. При използване на десктопна CRM дори пълното прекратяване на интернет връзката не спира работата, тъй като базата данни се намира в "родния" офис.

За облачните технологии разказва един от нашите служители, който е работил в компания за разработка на облачни комплексни офис системи, включително CRM. «На едно от местата ми на работа компанията създаваше нещо много подобно на базова CRM, и всичко това беше свързано с онлайн документи и т.н. Веднъж в GA видяхме аномална активност от един от клиентите-подписчици. Какво беше удивлението ни, аналитиците, когато ние, не будейки разработчици, но имайки висок достъп, просто успяхме по линка да отворим интерфейса, който клиентът използваше, да видим каква е популярната таблица при него. Между другото, изглежда, че клиентът не би искал някой да вижда тези търговски данни. Да, това беше бъг и не беше отстранен в продължение на няколко години — по мое мнение, нещата са все още същите. Оттогава съм привърженик на десктопа и не много вярвам на облаците, въпреки че, разбира се, и ние ги използваме в работата и в личния живот, където също са имали забавни факапи».

От нашето проучване на Хабра, а това са служители на напреднали компании

Загубата на данни от облачна CRM система може да бъде причинена от загуба на данни поради срив на сървъра, недостъпност на сървърите, извънредни ситуации, прекратяване на дейността на вендора и др. Облакът е постоянен, непрекъснат достъп до интернет, и защитата трябва да бъде безпрецедентна: на ниво код, права за достъп, допълнителни мерки за киберсигурност (например, двуфакторна автентификация).

Признак на опасност №2

Става дума не просто за един признак, а за група признаци, свързани с доставчика и неговата политика. Нека посочим някои важни примери, с които сме се сблъсквали ние и нашите служители.

• Доставчикът може да избере недостатъчно надеждно централно хранилище, в което ще се съхраняват бази данни на клиентите. Той ще спести средства, няма да контролира SLA, няма да изчисли натоварването, и резултатът ще бъде фатален точно за вас.
• Доставчикът може да откаже правото да прехвърли услугата в избраното от вас дата център. Това е доста разпространено ограничение за SaaS.
• Доставчикът може да има правен или икономически конфликт с облачния оператор и тогава по време на „разправи“ действията по резервно копиране или например скоростта, могат да бъдат ограничени.
• Услугата за създаване на резервни копия може да се предоставя за допълнителна цена. Разпространена практика, за която клиентът на CRM системата може да научи едва когато резервното копие стане необходимо, тоест в най-критичния и уязвим момент.
• Служителите на доставчика могат да имат безпрепятствен достъп до данните на клиентите.
• Могат да се случат изтичания на данни от всякакъв характер (човешки фактор, измами, хакери и т.н.).

Обикновено тези проблеми са свързани с малки или млади доставчици, но и големите многократно са попадали в неприятни ситуации (проверете в Google). Затова винаги трябва да имате средства за защита на информацията от ваша страна + да обсъждате предварително с избрания доставчик на CRM системата въпросите на сигурността. Дори самият факт, че проявявате интерес към проблема, вече ще накара доставчика да подхожда максимално отговорно към внедряването (особено важно е да постъпвате така, ако имате работа не с офиса на доставчика, а с негов партньор, на когото е важно да сключи договор и да получи комисионна, а не вашите двуфакторни… разбирате какво имам предвид).

Признак на опасност №3

Организация на работата с безопасността във вашата компания. Преди година традиционно пишехме за сигурността в Хабра и проведохме анкета. Извадката се оказа не особено голяма, но отговорите бяха показателни:

В края на статията ще предоставим линкове към собствените ни публикации, в които подробно разглеждахме отношенията в системата „компания — служител — безопасност“, а тук ще приведем списък с въпросите, на които е добре да намерите отговори във вашата компания (даже и ако не нуждаете от CRM).

• Къде служителите съхраняват паролите?
• Как е организиран достъпът до хранилищата на сървърите на компанията?
• Как е защитен софтуерът, в който има търговска и оперативна информация?
• Имат ли всички служители активирани антивируси?
• Колко служители имат достъп до клиентски данни и какъв е нивото на този достъп?
• Колко новаци имате и колко служители са в процес на напускане?
• Отдавна ли сте разговаряли с ключовите служители и чули техните искания и оплаквания?
• Контролират ли се принтерите?
• Как е организирана политиката за свързване на лични устройства към компютри и ползването на работния Wi-Fi?

Наистина, това са основни въпроси — в коментарите със сигурност ще добавят неща с повече детайли, но това е основата, която дори индивидуален предприемач с двама служители трябва да знае.

Как да се защитите?

• Резервните копия са изключително важни, за които често забравят или не се грижат. Ако имате десктопна система, настройте система за резервно копиране на данни с определена периодичност (например, за RegionSoft CRM, това може да се реализира с помощта на RegionSoft Application Server) и организирайте правилно съхранение на копията. Ако имате облачна CRM, непременно преди сключване на договора разберете как е организирана работата с резервните копия: нужни са ви данни за дълбочината и периодичността на архивирането, за мястото на съхранение, за разходите по архивирането (често безплатни са само резервните копия на „последните данни за период“, а пълноценно, сигурно архивиране се осъществява като платена услуга). Общо взето, тук определено няма да е място за икономия или небрежност. И да, не забравяйте да проверявате всичко, което се възстановява от резервните копия.
• Разделяне на правата за достъп на ниво функции и данни.
• Сигурността на мрежово ниво — трябва да разрешите използването на CRM само в офисната подсистема, да ограничите достъпа за мобилни устройства, да забраните работата с CRM системата от дома или, още по-лошо, от публични мрежи (коуъркинги, кафета, клиентски офиси и др.). Особено бъдете внимателни с мобилната версия — нека тя бъде само силно ограничен вариант за работа.
• Антивирус с проверка в реално време е необходим във всеки случай, но за сигурността на корпоративните данни — особено. Забранете на ниво политики да го изключват сами.
• Обучението на служителите по кибер хигиена не е загуба на време, а спешна необходимост. Трябва да се обясни на всички колеги, че е важно не само да се предупреди, но и да се реагира правилно на настъпващата заплаха. Забраняването на използването на интернет или личната поща в офиса е остаряло и води до остро негативно отношение, затова ще трябва да се работи именно върху профилактиката.

Разбира се, с помощта на облачна система може да се постигне достатъчно ниво на сигурност: използване на специализирани сървъри, конфигуриране на маршрутизатори и разделяне на трафика на ниво приложения и база данни, използване на частни мрежи, въвеждане на строги правила за сигурност за администраторите, осигуряване на непрекъснатост чрез резервно копиране с максимална необходима честота и пълнота, извършване на 24/7 мониторинг на мрежата... Вгледайте се, това не е толкова сложно, а по-скоро скъпо. Но, както показва практиката, тези мерки предприемат само някои компании, предимно големи. Затова не се свенете да кажете още веднъж: облакът и десктопът не трябва да живеят сами по себе си, защитете данните си.

Няколко малки, но важни съвета за всяка инсталация на CRM система

• Проверете доставчика за уязвимости — потърсете информация с комбинации от думи „уязвимост Vendor Name“, „хакнат Vendor Name“, „изтичане на данни от Vendor Name“. Това не трябва да бъде единствен параметър за търсене на нова CRM система, но е задължително да се обозначи и особено важно е да се разберат причините за възникналите инциденти.
• Разпитайте доставчика за центровете за данни: наличност, колко са, как е организирано аварийното превключване.
• Настройте сигурност в CRM, следете активността в системата и необичайните скокове.
• Ограничете експортирането на отчети и достъпа през API за непрофилни служители — т.е. за тези, на които тези функции не са необходими за постоянната им работа.
• Проследете, за да има във вашата CRM система създадено журнализиране на процесите и логване на действията на потребителите.

Това са дреболии, но те чудесно допълват общата картина. И наистина, няма дреболии в сигурността.

Внедрявайки CRM система, вие осигурявате сигурността на вашите данни - но само ако внедряването се извършва правилно и въпросите на информационната сигурност не се пренебрегват. Съгласете се, глупаво е да купите автомобил и да не проверите спирачките, ABS, наличието на въздушни възглавници, предпазни колани, EDS. В крайна сметка основното е не просто да се движите, а да шофирате безопасно и да стигнете цял и невредим. С бизнеса е същото.

И запомнете: ако правилата за безопасност на труда са написани с кръв, правилата за киберсигурност на бизнеса са написани с пари.

По темата за киберсигурността и мястото на CRM системите в нея можете да прочетете нашите подробни статии:

• Основен инстинкт на бизнеса: граници на корпоративната сигурност - обзор на възможните заплахи за сигурността в корпоративната сфера и примерна схема за откриване.
• Трябва ли да пазим данните от служителите - подробен анализ на начина, по който служителите могат да навредят на вашия бизнес и как го правят в търговската сфера.

Ако търсите CRM система, то на RegionSoft CRM до 31 март отстъпки 15%. Ако ви е нужна CRM или ERP - внимателно проучете нашите продукти и съпоставете техните възможности с вашите цели и задачи. Имате въпроси и затруднения - пишете, обадете се, организираме за вас индивидуална онлайн презентация - без рейтинги и сравнения.

Нашият канал в Telegram, в който без реклама пишем не съвсем формални неща за CRM и бизнеса.

Източник: habr.com