CRM системи от гледна точка на киберсигурността: защита или заплаха?

31 март е Международен ден за архивиране, а седмицата преди това винаги е пълна с истории, свързани със сигурността. В понеделник вече научихме за компрометирания Asus и „трима неназовани производители“. Особено суеверните компании седят на игли през цялата седмица, правейки резервни копия. И всичко това, защото всички ние сме малко небрежни по отношение на сигурността: някой забравя да затегне предпазния си колан на задната седалка, някой пренебрегва срока на годност на продуктите, някой съхранява своето потребителско име и парола под клавиатурата и дори по-добре, записва всички пароли в тетрадка. Някои хора успяват да деактивират антивирусите, „за да не забавят компютъра“ и да не използват разделяне на правата за достъп в корпоративните системи (какви тайни в компания от 50 души!). Вероятно човечеството просто все още не е развило инстинкта за кибер-самосъхранение, който по принцип може да се превърне в нов основен инстинкт.

Бизнесът също не е развил такива инстинкти. Прост въпрос: CRM системата заплаха за информационната сигурност ли е или инструмент за сигурност? Малко вероятно е някой да даде точен отговор веднага. Тук трябва да започнем, както ни учеха в уроците по английски: зависи... Зависи от настройките, формата на доставка на CRM, навиците и вярванията на доставчика, степента на пренебрежение на служителите, изтънчеността на нападателите . В крайна сметка всичко може да бъде хакнато. И така, как да живеем?

Това е информационна сигурност в малкия и среден бизнес От LiveJournal

CRM система като защита

Защитата на търговските и оперативни данни и сигурното съхраняване на вашата клиентска база е една от основните задачи на CRM системата и в това отношение тя стои над всички останали приложни софтуери в компанията.

Със сигурност сте започнали да четете тази статия и сте се ухилили дълбоко, казвайки, кой се нуждае от вашата информация. Ако е така, тогава вероятно не сте се занимавали с продажби и не знаете колко търсени са „живите“ и висококачествени клиентски бази и информация за методите за работа с тази база. Съдържанието на CRM системата е интересно не само за ръководството на компанията, но и за:  

• Нападатели (по-рядко) - те имат цел, свързана конкретно с вашата компания и ще използват всички ресурси за получаване на данни: подкупване на служители, хакване, закупуване на вашите данни от мениджъри, интервюта с мениджъри и др.
• Служители (по-често), които могат да действат като вътрешни лица за вашите конкуренти. Те просто са готови да отнемат или продадат клиентската си база за собствена печалба.
• За хакери аматьори (много рядко) - може да бъдете хакнати в облака, където се намират вашите данни или мрежата е хакната, или може би някой иска да „изтегли“ данните ви за забавление (например данни за търговци на едро на фармацевтични продукти или алкохол - просто е интересно да се види).

Ако някой влезе във вашия CRM, той ще има достъп до вашите оперативни дейности, тоест до обема от данни, с които правите по-голямата част от печалбите си. И от момента, в който се получи злонамерен достъп до CRM системата, печалбите започват да се усмихват на този, в чиито ръце се озовава клиентската база. Е, или неговите партньори и клиенти (четете - нови работодатели).

Добър, надежден CRM система е в състояние да покрие тези рискове и да предостави куп приятни бонуси в областта на сигурността.

И така, какво може да направи една CRM система по отношение на сигурността?

(ще ви кажем с пример RegionSoft CRM, защото Не можем да носим отговорност за другите)

• Двуфакторно удостоверяване с помощта на USB ключ и парола. RegionSoft CRM поддържа двуфакторен режим на авторизация на потребителя при влизане в системата. В този случай, когато влизате в системата, освен въвеждането на паролата, трябва да поставите USB ключ, който е предварително инициализиран в USB порта на компютъра. Двуфакторният режим на оторизация помага за защита срещу кражба на парола или разкриване.

Може да се кликне

• Стартирайте от надеждни IP адреси и MAC адреси. За повишена сигурност можете да ограничите потребителите да влизат само от регистрирани IP адреси и MAC адреси. Както вътрешните IP адреси в локалната мрежа, така и външните адреси могат да се използват като IP адреси, ако потребителят се свърже дистанционно (през Интернет).
• Упълномощаване на домейн (упълномощаване на Windows). Стартирането на системата може да бъде конфигурирано така, че потребителската парола да не се изисква при влизане. В този случай се извършва оторизация на Windows, която идентифицира потребителя с помощта на WinAPI. Системата ще бъде стартирана от потребителя, под чийто профил работи компютърът в момента на стартиране на системата.
• Друг механизъм е частни клиенти. Частни клиенти са клиенти, които могат да бъдат видени само от техния супервайзор. Тези клиенти няма да се показват в списъците на други потребители, дори ако други потребители имат пълни разрешения, включително администраторски права. По този начин можете да защитите например група от особено важни клиенти или група по друга причина, която ще бъде поверена на надежден мениджър.
• Механизъм за разделяне на правата за достъп — стандартна и основна мярка за сигурност в CRM. За да опростите процеса на администриране на потребителски права, в RegionSoft CRM правата се присвояват не на конкретни потребители, а на шаблони. И на самия потребител се присвоява един или друг шаблон, който има определен набор от права. Това позволява на всеки служител - от новоназначен до стажанти до директори - да присвоява разрешения и права за достъп, които ще му позволят/предотвратят достъп до чувствителни данни и чувствителна бизнес информация.
• Автоматична система за архивиране на данни (бекъпи)конфигурируеми чрез скрипт сървър RegionSoft сървър за приложения.

Това е прилагането на сигурност, използвайки една система като пример, всеки доставчик има свои собствени политики. Въпреки това CRM системата наистина защитава вашата информация: можете да видите кой е взел този или онзи отчет и по кое време, кой какви данни е прегледал, кой ги е изтеглил и много други. Дори и да разберете за уязвимостта постфактум, вие няма да оставите деянието ненаказано и лесно ще идентифицирате служителя, който е злоупотребил с доверието и лоялността на компанията.

отпусна ли се рано! Тази защита може да работи срещу вас, ако сте невнимателни и пренебрегнете проблемите със защитата на данните.

CRM системата като заплаха

Ако вашата компания има поне един компютър, това вече е източник на кибер заплаха. Съответно, нивото на заплаха нараства с броя на работните станции (и служителите) и с разнообразието от инсталиран и използван софтуер. А при CRM системите нещата не са лесни - все пак това е програма, предназначена да съхранява и обработва най-важния и скъп актив: клиентска база и търговска информация, а тук разказваме ужасяващи истории за нейната сигурност. Всъщност не всичко е толкова мрачно отблизо и ако се работи правилно, няма да получите нищо друго освен полза и сигурност от CRM системата.

Какви са признаците на опасна CRM система?

Нека започнем с кратка екскурзия в основите. CRM се предлагат в облачни и настолни версии. Облачните са тези, чиято СУБД (база данни) не се намира във вашата компания, а в частен или публичен облак в някакъв център за данни (например, вие седите в Челябинск и вашата база данни работи в супер готин център за данни в Москва , тъй като доставчикът на CRM е решил така и има споразумение с този конкретен доставчик). Настолен компютър (известен още като локален сървър - което вече не е толкова вярно) базира своите СУБД на вашите собствени сървъри (не, не, не си представяйте огромна сървърна стая със скъпи стелажи, най-често в малки и средни предприятия това е един сървър или дори обикновен компютър с модерна конфигурация), тоест физически във вашия офис.

Възможно е да получите неоторизиран достъп и до двата типа CRM, но скоростта и лекотата на достъп са различни, особено ако говорим за малки и средни предприятия, които не се интересуват много от информационната сигурност.

Знак за опасност #1

Причината за по-голямата вероятност от проблеми с данните в облачна система е връзка, свързана с няколко връзки: вие (клиент на CRM) - доставчик - доставчик (има по-дълга версия: вие - доставчик - ИТ аутсорсър на доставчика - доставчик) . 3-4 връзки в отношенията носят повече рискове от 1-2: може да възникне проблем от страна на доставчика (промяна на договора, неплащане на услугите на доставчика), от страна на доставчика (непреодолима сила, хакване, технически проблеми), от страна на възложителя (смяна на мениджър или инженер) и др. Разбира се, големите доставчици се опитват да имат резервни центрове за данни, да управляват рисковете и да поддържат своя DevOps отдел, но това не изключва проблеми.

Настолният CRM обикновено не се наема, а се купува от компанията; съответно връзката изглежда по-проста и по-прозрачна: по време на внедряването на CRM доставчикът конфигурира необходимите нива на сигурност (от разграничаване на правата за достъп и физически USB ключ до затваряне на сървър в бетонна стена и т.н.) и прехвърля контрола на компанията, която притежава CRM, която може да увеличи защитата, да наеме системен администратор или да се свърже със своя доставчик на софтуер, ако е необходимо. Проблемите се свеждат до работата със служителите, защитата на мрежата и физическата защита на информацията. Ако използвате десктоп CRM, дори пълното спиране на интернет няма да спре работата, тъй като базата данни се намира във вашия „домашен“ офис.

Един от нашите служители, който е работил в компания, която разработва облачно базирани интегрирани офис системи, включително CRM, говори за облачни технологии. „На една от моите работни места компанията създаваше нещо много подобно на базов CRM и всичко беше свързано с онлайн документи и т.н. Един ден в GA видяхме необичайна активност от един от нашите клиенти абонати. Представете си изненадата за нас, анализаторите, когато ние, не като разработчици, но с високо ниво на достъп, просто успяхме да използваме връзка, за да отворим интерфейса, който клиентът използва, за да видим какъв популярен знак има. Между другото, изглежда, че клиентът не би искал никой да види тези търговски данни. Да, това беше грешка и не беше коригирана няколко години - според мен нещата все още са там. Оттогава съм ентусиаст на настолни компютри и не вярвам наистина на облаците, въпреки че, разбира се, ги използваме в работата и в личния си живот, където също имахме някои забавни fakaps.“

От нашата анкета на Хабре и това са служители на напреднали компании

Загубата на данни от облачна CRM система може да се дължи на загуба на данни поради повреда на сървъра, недостъпност на сървъри, непреодолима сила, прекратяване на дейности на доставчика и др. Облакът означава постоянен, непрекъснат достъп до интернет и защитата трябва да бъде безпрецедентна: на ниво код, права за достъп, допълнителни мерки за киберсигурност (например двуфакторна автентификация).

Знак за опасност #2

Дори не говорим за една характеристика, а за група характеристики, свързани с доставчика и неговите политики. Нека изброим някои важни примери, с които сме се сблъскали ние и нашите служители.

• Доставчикът може да избере недостатъчно надежден център за данни, където клиентската СУБД ще се „върти“. Той ще спести пари, няма да контролира SLA, няма да изчисли натоварването и резултатът ще бъде фатален за вас.
• Доставчикът може да откаже правото да прехвърли услугата към центъра за данни по ваш избор. Това е доста често срещано ограничение за SaaS.
• Доставчикът може да има правен или икономически конфликт с доставчика на облак и след това по време на „разкриването“ резервните действия или, например, скоростта може да бъдат ограничени.
• Услугата за създаване на резервни копия може да бъде предоставена срещу допълнителна цена. Често срещана практика, за която клиент на CRM система може да научи само в момента, в който има нужда от резервно копие, тоест в най-критичния и уязвим момент.
• Служителите на доставчика могат да имат безпрепятствен достъп до клиентските данни.
• Може да възникне изтичане на данни от всякакво естество (човешка грешка, измама, хакери и др.).

Обикновено тези проблеми са свързани с малки или млади доставчици, но големите многократно са изпадали в проблеми (google it). Следователно, винаги трябва да имате начини да защитите информацията от ваша страна + да обсъдите проблемите със сигурността с избрания доставчик на CRM система предварително. Дори самият факт на вашия интерес към проблема вече ще принуди доставчика да се отнася към внедряването възможно най-отговорно (особено важно е да направите това, ако имате работа не с офиса на доставчика, а с неговия партньор, за когото е важно е да сключиш договор и да получиш комисионна, а не тези двуфакторни... добре разбра ли).

Знак за опасност #3

Организация на охранителната дейност във вашата фирма. Преди година традиционно писахме за сигурността на Хабре и направихме проучване. Извадката не беше много голяма, но отговорите са показателни:

В края на статията ще предоставим линкове към нашите публикации, където разгледахме подробно връзката в системата „фирма-служител-сигурност“, а тук ще предоставим списък с въпроси, отговорите на които трябва да намерите в вашата компания (дори и да не се нуждаете от CRM).

• Къде служителите съхраняват пароли?
• Как е организиран достъпът до хранилището на сървърите на компанията?
• Как се защитава софтуерът, който съдържа търговска и оперативна информация?
• Всички служители имат ли активен антивирусен софтуер?
• Колко служители имат достъп до клиентските данни и какво ниво на достъп има това?
• Колко нови служители имате и колко служители са в процес на напускане?
• От колко време сте общували с ключови служители и сте се вслушвали в техните искания и оплаквания?
• Принтерите наблюдават ли се?
• Как е организирана политиката за свързване на вашите собствени джаджи към вашия компютър, както и използване на работен Wi-Fi?

Всъщност това са основни въпроси - хардкор вероятно ще бъде добавен в коментарите, но това са основите, чиито основи дори индивидуален предприемач с двама служители трябва да знае.

И така, как да се предпазите?

• Архивирането е най-важното нещо, което често се забравя или не се полагат грижи за него. Ако имате настолна система, настройте система за архивиране на данни с определена честота (например за RegionSoft CRM това може да стане с RegionSoft сървър за приложения) и организирайте правилното съхранение на копията. Ако имате облачен CRM, не забравяйте да разберете преди сключването на договор как е организирана работата с резервни копия: имате нужда от информация за дълбочината и честотата, местоположението на съхранението, цената на архивирането (често само архиви на „най-новите данни за периода ” са безплатни, а пълноценно защитено резервно копиране се предоставя като платена услуга). Като цяло, това определено не е мястото за спестявания или небрежност. И да, не забравяйте да проверите какво се възстановява от архиви.
• Разделяне на правата за достъп на ниво функция и данни.
• Сигурност на мрежово ниво - трябва да разрешите използването на CRM само в подмрежата на офиса, да ограничите достъпа за мобилни устройства, да забраните работата с CRM системата от дома или, още по-лошо, от обществени мрежи (coworking пространства, кафенета, клиентски офиси) и т.н.). Бъдете особено внимателни с мобилната версия - нека бъде само силно съкратена версия за работа.
• Антивирусна програма със сканиране в реално време е необходима във всеки случай, но особено в случай на сигурност на корпоративните данни. На ниво правила забранете сами да го деактивирате.
• Обучението на служителите по киберхигиена не е загуба на време, а спешна необходимост. Необходимо е да се предаде на всички колеги, че за тях е важно не само да предупредят, но и да реагират правилно на получената заплаха. Забраната за използване на интернет или вашия имейл в офиса е нещо от миналото и е причина за остър негативизъм, така че ще трябва да работите върху превенцията.

Разбира се, използвайки облачна система, можете да постигнете достатъчно ниво на сигурност: използвайте специални сървъри, конфигурирайте рутери и отделете трафика на ниво приложение и ниво база данни, използвайте частни подмрежи, въведете строги правила за сигурност за администраторите, осигурете непрекъсната работа чрез архивиране с максимална необходима честота и пълнота, за да наблюдавате мрежата денонощно... Ако се замислите, не е толкова трудно, но доста скъпо. Но, както показва практиката, само някои компании, предимно големи, предприемат такива мерки. Затова не се колебаем да кажем отново: както облакът, така и работният плот не трябва да живеят сами по себе си; защитете вашите данни.

Няколко малки, но важни съвета за всички случаи на внедряване на CRM система

• Проверете доставчика за уязвимости - потърсете информация, като използвате комбинации от думи „Уязвимост на име на доставчик“, „Име на доставчик хакнато“, „Изтичане на данни за име на доставчик“. Това не трябва да е единственият параметър в търсенето на нова CRM система, но просто е необходимо да се отбележи подкорката и е особено важно да се разберат причините за възникналите инциденти.
• Попитайте доставчика за центъра за данни: наличност, колко има, как е организиран отказът.
• Настройте токени за сигурност във вашия CRM, наблюдавайте активността в системата и необичайните пикове.
• Деактивирайте експортирането на отчети и достъпа чрез API за неосновни служители - тоест тези, които не се нуждаят от тези функции за обичайните си дейности.
• Уверете се, че вашата CRM система е конфигурирана да регистрира процеси и действия на потребителите.

Това са малки неща, но те идеално допълват общата картина. И всъщност никакви малки неща не са безопасни.

Внедрявайки CRM система, вие гарантирате сигурността на вашите данни - но само ако внедряването е извършено компетентно и проблемите на информационната сигурност не са оставени на заден план. Съгласете се, глупаво е да си купите кола и да не проверите спирачките, ABS, въздушните възглавници, предпазните колани, EDS. В крайна сметка основното нещо е не просто да отидете, а да отидете безопасно и да стигнете там живи и здрави. Същото е и с бизнеса.

И помнете: ако правилата за безопасност на труда са написани с кръв, правилата за бизнес киберсигурност са написани с пари.

По темата за киберсигурността и мястото на CRM системата в нея можете да прочетете нашите подробни статии:

• Основен бизнес инстинкт: На ръба на корпоративната сигурност — преглед на възможните заплахи за сигурността в корпоративната сфера и приблизителна схема за откриване.
• Трябва ли да защитавате данните на служителите? — подробен анализ на това как служителите могат да навредят на вашия бизнес и как го правят в търговската сфера.

Ако търсите CRM система, тогава на RegionSoft CRM до 31 март 15% отстъпка. Ако имате нужда от CRM или ERP, внимателно проучете нашите продукти и сравнете техните възможности с вашите цели и задачи. Ако имате въпроси или затруднения, пишете или се обадете, ние ще организираме индивидуална онлайн презентация за вас - без оценки и звънци.

Нашият канал в Telegram, в който без реклама пишем не съвсем формални неща за CRM и бизнеса.

Източник: www.habr.com