Der 31. März ist der Internationale Backup-Tag und die Woche davor ist immer voller sicherheitsrelevanter Geschichten. Am Montag erfuhren wir bereits von dem kompromittierten Asus und „drei ungenannten Herstellern“. Besonders abergläubische Unternehmen sitzen die ganze Woche auf Nadeln und Nadeln und erstellen Backups. Und das alles, weil wir alle ein wenig nachlässig sind, wenn es um die Sicherheit geht: Jemand vergisst, sich auf dem Rücksitz anzuschnallen, jemand ignoriert das Verfallsdatum von Produkten, jemand speichert seinen Benutzernamen und sein Passwort unter der Tastatur und notiert sich noch besser Alle Passwörter in einem Notizbuch. Manchen gelingt es, Antivirenprogramme zu deaktivieren, „um den Computer nicht zu verlangsamen“ und auf die Trennung der Zugriffsrechte in Unternehmenssystemen zu verzichten (was für Geheimnisse in einem Unternehmen mit 50 Mitarbeitern!). Wahrscheinlich hat die Menschheit einfach noch nicht den Instinkt der Cyber-Selbsterhaltung entwickelt, der im Prinzip zu einem neuen Grundinstinkt werden kann.
Auch die Wirtschaft hat solche Instinkte nicht entwickelt. Eine einfache Frage: Ist ein CRM-System eine Bedrohung für die Informationssicherheit oder ein Sicherheitstool? Es ist unwahrscheinlich, dass irgendjemand sofort eine genaue Antwort geben wird. Hier müssen wir beginnen, wie es uns im Englischunterricht beigebracht wurde: Es kommt darauf an... Es hängt von den Einstellungen, der Form der CRM-Bereitstellung, den Gewohnheiten und Überzeugungen des Anbieters, dem Grad der Missachtung der Mitarbeiter und der Raffinesse der Angreifer ab . Schließlich kann alles gehackt werden. Wie also leben?
Das ist Informationssicherheit in kleinen und mittleren Unternehmen
CRM-System als Schutz
Der Schutz kaufmännischer und betrieblicher Daten sowie die sichere Speicherung Ihres Kundenstamms gehört zu den Hauptaufgaben eines CRM-Systems und ist damit jeder anderen Anwendungssoftware im Unternehmen weit überlegen.
Sicherlich haben Sie mit der Lektüre dieses Artikels begonnen und tief in Ihrem Inneren gegrinst und gefragt, wer Ihre Informationen braucht. Wenn ja, dann haben Sie sich wahrscheinlich noch nicht mit dem Verkauf beschäftigt und wissen nicht, wie gefragt „live“ und qualitativ hochwertige Kundenstämme sind und wie Sie mit diesen Kunden arbeiten können. Die Inhalte des CRM-Systems sind nicht nur für die Unternehmensleitung interessant, sondern auch für:
- Angreifer (seltener) – sie haben ein speziell auf Ihr Unternehmen bezogenes Ziel und nutzen alle Ressourcen, um an Daten zu gelangen: Bestechung von Mitarbeitern, Hacking, Kauf Ihrer Daten von Managern, Interviews mit Managern usw.
- Mitarbeiter (häufiger), die als Insider für Ihre Konkurrenten fungieren können. Sie sind einfach bereit, ihren Kundenstamm zu ihrem eigenen Vorteil wegzunehmen oder zu verkaufen.
- Für Amateur-Hacker (sehr selten): Sie werden möglicherweise in die Cloud gehackt, in der sich Ihre Daten befinden, oder das Netzwerk wird gehackt, oder vielleicht möchte jemand Ihre Daten zum Spaß „herausziehen“ (z. B. Daten über Pharma- oder Alkoholgroßhändler – einfach interessant zu sehen).
Wenn jemand in Ihr CRM gelangt, hat er Zugriff auf Ihre operativen Aktivitäten, also auf die Datenmenge, mit der Sie den größten Teil Ihres Gewinns erzielen. Und von dem Moment an, in dem böswilliger Zugriff auf das CRM-System erlangt wird, beginnen die Gewinne denjenigen zu lächeln, in deren Händen der Kundenstamm landet. Na ja, oder seine Partner und Kunden (sprich – neue Arbeitgeber).
Gut, zuverlässig ist in der Lage, diese Risiken abzudecken und eine Reihe angenehmer Boni im Bereich Sicherheit zu bieten.
Was kann ein CRM-System also in puncto Sicherheit leisten?
(wir verraten es Ihnen anhand eines Beispiels, Weil Wir können nicht für andere verantwortlich sein)
- Zwei-Faktor-Authentifizierung mit USB-Stick und Passwort. unterstützt den Zwei-Faktor-Benutzerautorisierungsmodus bei der Anmeldung am System. In diesem Fall müssen Sie beim Anmelden am System zusätzlich zur Eingabe des Passworts einen zuvor initialisierten USB-Stick in den USB-Anschluss des Computers stecken. Der Zwei-Faktor-Autorisierungsmodus schützt vor Passwortdiebstahl oder -offenlegung.
Anklickbar
- Von vertrauenswürdigen IP-Adressen und MAC-Adressen ausführen. Um die Sicherheit zu erhöhen, können Sie verhindern, dass sich Benutzer nur über registrierte IP-Adressen und MAC-Adressen anmelden. Als IP-Adressen können sowohl interne IP-Adressen im lokalen Netzwerk als auch externe Adressen verwendet werden, wenn der Benutzer eine Remote-Verbindung (über das Internet) herstellt.
- Domänenautorisierung (Windows-Autorisierung). Der Systemstart kann so konfiguriert werden, dass bei der Anmeldung kein Benutzerpasswort erforderlich ist. In diesem Fall erfolgt eine Windows-Autorisierung, die den Benutzer über WinAPI identifiziert. Das System wird unter dem Benutzer gestartet, unter dessen Profil der Computer zum Zeitpunkt des Systemstarts läuft.
- Ein weiterer Mechanismus ist Privatkunden. Privatkunden sind Kunden, die nur von ihrem Vorgesetzten eingesehen werden können. Diese Clients werden nicht in den Listen anderer Benutzer angezeigt, selbst wenn andere Benutzer über vollständige Berechtigungen, einschließlich Administratorrechten, verfügen. Auf diese Weise können Sie beispielsweise einen Pool besonders wichtiger Kunden oder eine Gruppe aus anderen Gründen schützen, die einem zuverlässigen Manager anvertraut werden.
- Mechanismus zur Aufteilung der Zugriffsrechte – eine standardmäßige und primäre Sicherheitsmaßnahme im CRM. Um den Prozess der Verwaltung von Benutzerrechten zu vereinfachen, in Rechte werden nicht bestimmten Benutzern, sondern Vorlagen zugewiesen. Und dem Benutzer selbst wird die eine oder andere Vorlage zugewiesen, die über bestimmte Rechte verfügt. Auf diese Weise kann jeder Mitarbeiter – vom neuen Mitarbeiter über den Praktikanten bis zum Direktor – Berechtigungen und Zugriffsrechte zuweisen, die ihm den Zugriff auf sensible Daten und sensible Geschäftsinformationen ermöglichen bzw. verbieten.
- Automatisches Datensicherungssystem (Backups)konfigurierbar über Scriptserver .
Hierbei handelt es sich um die Implementierung von Sicherheit am Beispiel eines einzelnen Systems. Jeder Anbieter hat seine eigenen Richtlinien. Das CRM-System schützt Ihre Informationen jedoch wirklich: Sie können sehen, wer diesen oder jenen Bericht zu welchem Zeitpunkt erstellt hat, wer welche Daten angesehen hat, wer sie heruntergeladen hat und vieles mehr. Auch wenn Sie im Nachhinein von der Schwachstelle erfahren, lassen Sie die Tat nicht ungestraft und können den Mitarbeiter, der das Vertrauen und die Loyalität des Unternehmens missbraucht hat, leicht identifizieren.
Bist du entspannt? Früh! Gerade dieser Schutz kann sich negativ auf Sie auswirken, wenn Sie nachlässig sind und Datenschutzbelange ignorieren.
CRM-System als Bedrohung
Wenn Ihr Unternehmen über mindestens einen PC verfügt, stellt dieser bereits eine Cyber-Bedrohungsquelle dar. Dementsprechend steigt die Bedrohungslage mit der Anzahl der Arbeitsplätze (und Mitarbeiter) und mit der Vielfalt der installierten und genutzten Software. Und mit CRM-Systemen ist es nicht einfach – schließlich handelt es sich um ein Programm, das darauf ausgelegt ist, das wichtigste und teuerste Gut zu speichern und zu verarbeiten: einen Kundenstamm und Geschäftsinformationen, und hier erzählen wir Horrorgeschichten über seine Sicherheit. Tatsächlich ist aus der Nähe nicht alles so düster und bei richtiger Handhabung erhalten Sie aus dem CRM-System nichts als Nutzen und Sicherheit.
Was sind die Anzeichen für ein gefährliches CRM-System?
Beginnen wir mit einem kurzen Exkurs in die Grundlagen. CRMs gibt es in Cloud- und Desktop-Versionen. Cloud-Modelle sind solche, deren DBMS (Datenbank) sich nicht in Ihrem Unternehmen, sondern in einer privaten oder öffentlichen Cloud in einem Rechenzentrum befindet (Sie sitzen beispielsweise in Tscheljabinsk und Ihre Datenbank läuft in einem supercoolen Rechenzentrum in Moskau). , weil der CRM-Anbieter so entschieden hat und er eine Vereinbarung mit diesem bestimmten Anbieter hat). Desktops (auch bekannt als On-Premise-Server – was nicht mehr so stimmt) basieren ihr DBMS auf Ihren eigenen Servern (nein, nein, stellen Sie sich nicht einen riesigen Serverraum mit teuren Racks vor, was in kleinen und mittleren Unternehmen am häufigsten der Fall ist). ein einzelner Server oder sogar ein gewöhnlicher PC moderner Konfiguration), also physisch in Ihrem Büro.
Es ist möglich, sich unbefugten Zugriff auf beide CRM-Typen zu verschaffen, allerdings sind die Geschwindigkeit und die Benutzerfreundlichkeit des Zugriffs unterschiedlich, insbesondere wenn es sich um KMUs handelt, denen die Informationssicherheit wenig am Herzen liegt.
Gefahrenzeichen Nr. 1
Der Grund für die höhere Wahrscheinlichkeit von Problemen mit Daten in einem Cloud-System ist die Beziehung, die durch mehrere Verbindungen verbunden ist: Sie (CRM-Mandant) – Anbieter – Anbieter (es gibt eine längere Version: Sie – Anbieter – IT-Outsourcer des Anbieters – Anbieter). . 3-4 Verbindungen in einer Beziehung bergen mehr Risiken als 1-2: Ein Problem kann auf der Seite des Anbieters auftreten (Vertragsänderung, Nichtzahlung der Dienste des Anbieters), auf der Seite des Anbieters (höhere Gewalt, Hacking, technische Probleme), auf Seiten des Outsourcers (Wechsel des Managers oder Ingenieurs) usw. Natürlich versuchen große Anbieter, Backup-Rechenzentren einzurichten, Risiken zu verwalten und ihre DevOps-Abteilung aufrechtzuerhalten, aber das schließt Probleme nicht aus.
Desktop-CRM wird in der Regel nicht gemietet, sondern vom Unternehmen gekauft; entsprechend sieht die Beziehung einfacher und transparenter aus: Bei der Implementierung des CRM konfiguriert der Anbieter die notwendigen Sicherheitsstufen (von der Differenzierung der Zugriffsrechte über einen physischen USB-Stick bis hin zur Beilage des Server in einer Betonwand usw.) und überträgt die Kontrolle an das Unternehmen, dem das CRM gehört. Dieses kann den Schutz erhöhen, einen Systemadministrator einstellen oder sich bei Bedarf an seinen Softwarelieferanten wenden. Die Probleme beschränken sich auf die Zusammenarbeit mit Mitarbeitern, den Schutz des Netzwerks und den physischen Schutz von Informationen. Wenn Sie Desktop-CRM verwenden, wird auch eine vollständige Abschaltung des Internets die Arbeit nicht beeinträchtigen, da sich die Datenbank in Ihrem „Heimbüro“ befindet.
Einer unserer Mitarbeiter, der in einem Unternehmen arbeitete, das cloudbasierte integrierte Bürosysteme, einschließlich CRM, entwickelte, spricht über Cloud-Technologien. „Bei einem meiner Jobs entwickelte das Unternehmen etwas, das einem einfachen CRM sehr ähnelte, und alles war mit Online-Dokumenten usw. verbunden. Eines Tages sahen wir in GA ungewöhnliche Aktivitäten bei einem unserer Abonnentenkunden. Stellen Sie sich die Überraschung für uns Analysten vor, als wir, keine Entwickler, aber mit hohem Zugriffsniveau, einfach die vom Kunden verwendete Schnittstelle über einen Link öffnen und sehen konnten, was für ein beliebtes Zeichen er hatte. Übrigens möchte der Kunde anscheinend nicht, dass jemand diese kommerziellen Daten sieht. Ja, es war ein Fehler, der mehrere Jahre lang nicht behoben wurde – meiner Meinung nach sind die Dinge immer noch da. Seitdem bin ich ein Desktop-Enthusiast und traue den Clouds nicht wirklich, obwohl wir sie natürlich sowohl bei der Arbeit als auch im Privatleben nutzen, wo wir auch ein paar lustige Fakaps hatten.“
Aus unserer Umfrage zu Habré, und das sind Mitarbeiter fortschrittlicher Unternehmen
Der Verlust von Daten aus einem Cloud-CRM-System kann auf Datenverlust aufgrund von Serverausfall, Nichtverfügbarkeit von Servern, höherer Gewalt, Beendigung der Anbieteraktivitäten usw. zurückzuführen sein. Die Cloud bedeutet ständigen, ununterbrochenen Zugriff auf das Internet, und der Schutz muss beispiellos sein: auf der Ebene des Codes, der Zugriffsrechte und zusätzlicher Cybersicherheitsmaßnahmen (z. B. Zwei-Faktor-Authentifizierung).
Gefahrenzeichen Nr. 2
Dabei geht es nicht um ein einziges Merkmal, sondern um eine Gruppe von Merkmalen, die sich auf den Anbieter und seine Richtlinien beziehen. Lassen Sie uns einige wichtige Beispiele auflisten, die uns und unseren Mitarbeitern begegnet sind.
- Der Anbieter wählt möglicherweise ein nicht ausreichend zuverlässiges Rechenzentrum, in dem sich das DBMS der Kunden „dreht“. Er wird Geld sparen, das SLA nicht kontrollieren, die Auslastung nicht berechnen und das Ergebnis wird für Sie fatal sein.
- Der Anbieter kann Ihnen das Recht verweigern, den Dienst an das Rechenzentrum Ihrer Wahl zu übertragen. Dies ist eine ziemlich häufige Einschränkung für SaaS.
- Es kann sein, dass der Anbieter einen rechtlichen oder wirtschaftlichen Konflikt mit dem Cloud-Anbieter hat und dann während des „Showdowns“ Backup-Aktionen oder beispielsweise die Geschwindigkeit eingeschränkt sein können.
- Der Service zur Erstellung von Backups kann gegen Aufpreis angeboten werden. Eine gängige Praxis, von der ein Kunde eines CRM-Systems erst dann erfahren kann, wenn ein Backup erforderlich ist, also im kritischsten und anfälligsten Moment.
- Lieferantenmitarbeiter können ungehindert auf Kundendaten zugreifen.
- Es kann zu Datenlecks jeglicher Art kommen (menschliches Versagen, Betrug, Hacker usw.).
Normalerweise sind diese Probleme mit kleinen oder jungen Anbietern verbunden, große Anbieter sind jedoch immer wieder in Schwierigkeiten geraten (google es). Daher sollten Sie immer Möglichkeiten zum Schutz Ihrer Informationen auf Ihrer Seite haben + Sicherheitsfragen vorab mit dem ausgewählten CRM-Systemanbieter besprechen. Schon die Tatsache, dass Sie sich für das Problem interessieren, wird den Lieferanten dazu zwingen, so verantwortungsvoll wie möglich mit der Umsetzung umzugehen (dies ist besonders wichtig, wenn Sie es nicht mit dem Büro des Verkäufers, sondern mit seinem Partner zu tun haben, für den es sich handelt). Es ist wichtig, einen Vertrag abzuschließen und eine Provision zu erhalten, und nicht diese beiden Faktoren... nun, haben Sie verstanden).
Gefahrenzeichen Nr. 3
Organisation der Sicherheitsarbeiten in Ihrem Unternehmen. Vor einem Jahr haben wir traditionell über die Sicherheit auf Habré geschrieben und eine Umfrage durchgeführt. Die Stichprobe war nicht sehr groß, aber die Antworten sind indikativ:
Am Ende des Artikels stellen wir Links zu unseren Veröffentlichungen bereit, in denen wir den Zusammenhang im System „Unternehmen-Mitarbeiter-Sicherheit“ ausführlich untersucht haben, und stellen hier eine Liste von Fragen bereit, auf die darin Antworten gefunden werden sollten Ihr Unternehmen (auch wenn Sie kein CRM benötigen).
- Wo speichern Mitarbeiter Passwörter?
- Wie ist der Zugriff auf den Speicher auf den Servern des Unternehmens organisiert?
- Wie wird Software geschützt, die kommerzielle und betriebliche Informationen enthält?
- Ist bei allen Mitarbeitern eine Antivirensoftware aktiv?
- Wie viele Mitarbeiter haben Zugriff auf Kundendaten und über welche Zugriffsebene verfügen diese?
- Wie viele Neueinstellungen gibt es bei Ihnen und wie viele Mitarbeiter sind dabei, das Unternehmen zu verlassen?
- Wie lange haben Sie mit wichtigen Mitarbeitern kommuniziert und auf ihre Wünsche und Beschwerden gehört?
- Werden Drucker überwacht?
- Wie sind die Richtlinien für die Verbindung Ihrer eigenen Geräte mit Ihrem PC sowie für die Nutzung von WLAN am Arbeitsplatz organisiert?
Tatsächlich handelt es sich hierbei um grundlegende Fragen – in den Kommentaren werden wahrscheinlich noch Hardcore-Fragen hinzugefügt, aber das sind die Grundlagen, deren Grundlagen selbst ein Einzelunternehmer mit zwei Mitarbeitern kennen sollte.
Wie kann man sich also schützen?
- Backups sind das Wichtigste, was oft vergessen oder nicht erledigt wird. Wenn Sie über ein Desktop-System verfügen, richten Sie ein Datensicherungssystem mit einer bestimmten Häufigkeit ein (für RegionSoft CRM kann dies beispielsweise mit erfolgen). ) und organisieren die ordnungsgemäße Aufbewahrung von Kopien. Wenn Sie über ein Cloud-CRM verfügen, informieren Sie sich unbedingt vor Vertragsabschluss, wie die Arbeit mit Backups organisiert ist: Sie benötigen Informationen über Tiefe und Häufigkeit, Speicherort, Kosten des Backups (oft nur Backups der „aktuellsten Daten für den Zeitraum“) „sind kostenlos und ein vollwertiges, sicheres Backup-Kopieren wird als kostenpflichtiger Service angeboten). Im Allgemeinen ist dies definitiv nicht der richtige Ort für Ersparnisse oder Nachlässigkeit. Und ja, vergessen Sie nicht, zu überprüfen, was aus den Backups wiederhergestellt wird.
- Trennung der Zugriffsrechte auf Funktions- und Datenebene.
- Sicherheit auf Netzwerkebene – Sie müssen die Verwendung von CRM nur innerhalb des Büro-Subnetzes zulassen, den Zugriff für mobile Geräte beschränken, die Arbeit mit dem CRM-System von zu Hause oder, noch schlimmer, aus öffentlichen Netzwerken (Coworking Spaces, Cafés, Kundenbüros) verbieten , usw.). Seien Sie besonders vorsichtig mit der mobilen Version – lassen Sie es sich nur um eine stark gekürzte Version für die Arbeit handeln.
- Ein Antivirenprogramm mit Echtzeit-Scanning ist in jedem Fall erforderlich, insbesondere aber im Hinblick auf die Sicherheit von Unternehmensdaten. Verbieten Sie auf Richtlinienebene, es selbst zu deaktivieren.
- Die Schulung der Mitarbeiter zum Thema Cyberhygiene ist keine Zeitverschwendung, sondern eine dringende Notwendigkeit. Es ist notwendig, allen Kollegen zu vermitteln, dass es für sie wichtig ist, nicht nur zu warnen, sondern auch richtig auf die Bedrohung zu reagieren. Das Verbot der Nutzung des Internets oder Ihrer E-Mails im Büro gehört der Vergangenheit an und ist ein Grund für akute Negativität, daher müssen Sie an der Prävention arbeiten.
Natürlich können Sie mit einem Cloud-System ein ausreichendes Maß an Sicherheit erreichen: Verwenden Sie dedizierte Server, konfigurieren Sie Router und trennen Sie den Datenverkehr auf Anwendungsebene und Datenbankebene, verwenden Sie private Subnetze, führen Sie strenge Sicherheitsregeln für Administratoren ein und stellen Sie durch Backups einen unterbrechungsfreien Betrieb sicher mit der maximal erforderlichen Häufigkeit und Vollständigkeit, um das Netzwerk rund um die Uhr zu überwachen ... Wenn man darüber nachdenkt, ist es nicht so schwierig, aber ziemlich teuer. Doch wie die Praxis zeigt, ergreifen nur wenige, meist große Unternehmen solche Maßnahmen. Deshalb zögern wir nicht, noch einmal zu sagen: Sowohl die Cloud als auch der Desktop sollten nicht für sich allein leben; schützen Sie Ihre Daten.
Ein paar kleine, aber wichtige Tipps für alle Fälle der Einführung eines CRM-Systems
- Überprüfen Sie den Anbieter auf Schwachstellen – suchen Sie nach Informationen mit den Wortkombinationen „Sicherheitslücke im Anbieternamen“, „Name des Anbieters gehackt“, „Datenleck im Namen des Anbieters“. Dies sollte nicht der einzige Parameter bei der Suche nach einem neuen CRM-System sein, sondern es ist lediglich notwendig, den Subkortex anzukreuzen, und es ist besonders wichtig, die Gründe für die aufgetretenen Vorfälle zu verstehen.
- Fragen Sie den Anbieter nach dem Rechenzentrum: Verfügbarkeit, wie viele es gibt, wie das Failover organisiert ist.
- Richten Sie Sicherheitstokens in Ihrem CRM ein, überwachen Sie Aktivitäten im System und ungewöhnliche Spitzen.
- Deaktivieren Sie den Export von Berichten und den Zugriff über die API für nicht zum Kerngeschäft gehörende Mitarbeiter, also diejenigen, die diese Funktionen nicht für ihre regulären Aktivitäten benötigen.
- Stellen Sie sicher, dass Ihr CRM-System für die Protokollierung von Prozessen und Benutzeraktionen konfiguriert ist.
Das sind Kleinigkeiten, die aber das Gesamtbild perfekt ergänzen. Und tatsächlich sind keine kleinen Dinge sicher.
Durch die Implementierung eines CRM-Systems gewährleisten Sie die Sicherheit Ihrer Daten – allerdings nur, wenn die Implementierung kompetent durchgeführt wird und Fragen der Informationssicherheit nicht in den Hintergrund gedrängt werden. Stimmen Sie zu, es ist dumm, ein Auto zu kaufen und die Bremsen, das ABS, die Airbags, die Sicherheitsgurte und das EDS nicht zu überprüfen. Schließlich geht es nicht nur darum, zu gehen, sondern auch sicher dorthin zu gelangen und sicher anzukommen. Im Geschäftsleben ist es genauso.
Und denken Sie daran: Wenn Arbeitsschutzregeln mit Blut geschrieben sind, sind geschäftliche Cybersicherheitsregeln mit Geld geschrieben.
Zum Thema Cybersicherheit und dem Stellenwert des CRM-Systems darin können Sie unsere ausführlichen Artikel lesen:
- — eine Übersicht über mögliche Sicherheitsbedrohungen im Unternehmensbereich und ein ungefähres Erkennungsschema.
- — eine detaillierte Analyse, wie Mitarbeiter Ihrem Unternehmen schaden können und wie sie dies im kommerziellen Bereich tun.
Wenn Sie auf der Suche nach einem CRM-System sind, dann weiter . Wenn Sie CRM oder ERP benötigen, studieren Sie unsere Produkte sorgfältig und vergleichen Sie deren Fähigkeiten mit Ihren Zielen und Vorgaben. Wenn Sie Fragen oder Schwierigkeiten haben, schreiben Sie oder rufen Sie an, wir organisieren für Sie eine individuelle Online-Präsentation – ohne Bewertungen und Schnickschnack.
, in dem wir ohne Werbung nicht ganz formelle Dinge über CRM und Business schreiben.
Source: habr.com