CRM-süsteemid küberjulgeoleku vaatenurgast: kaitse või oht?

31. märts – rahvusvaheline varundamise päev, ja eelnevad nädalad on alati täis turvalisusega seotud lugusid. Esmaspäeval saime juba teada kompromiteeritud Asusest ja "kolmest nimetamata tootjast". Eriti sõnakuulelikud ettevõtted on kogu nädala närvilised ja teevad varundeid. Kõik see tuleneb sellest, et me kõik oleme pisut hajameelsed turvalisuse osas: keegi unustab turvavöö kinnitamata tagaistmel, keegi ignorib toiduainete aegumiskuupäeva, keegi hoiab oma sisselogimisandmed klaviatuuri all, ja veel parem – kirjutab kõik paroolid vihikusse. Erilised isikud suudavad välja lülitada viirusetõrje, "et arvutit ei aeglustaks" ja mitte kasutada juurdepääsuõiguste jagamist ettevõttes (millised saladused võib olla 50 inimesed!). Tõenäoliselt ei ole inimkond lihtsalt veel arendanud küberrikkus-instinkti, mis võib saada uueks põhiliseks instinktiks.

Ei ole välja töötatud selliseid instinkte ja äri. Lihtne küsimus: kas CRM-süsteem on teabeohutuse oht või turvalisuse tagamise tööriist? Vaevalt, et keegi selliselt koheselt täpselt vastaks. Siin tuleb alustada, nagu meid õpetati inglise keele tundides: see sõltub… See sõltub CRM-i seadistustest, tarnevormist, tarnija harjumustest ja veendumustest, töötajate hoolimatuse tasemest, pahateoide osavusest. Lõppude lõpuks võib kõike häkkida. Kuidas siis elada?

Selline on väikeste ja keskmiste ettevõtete teabeohutus Žurnalist

CRM-süsteem kui kaitse

Äri- ja operatiivteabe kaitsmine ning kliendiandmete usaldusväärne säilitamine on üks peamisi CRM-süsteemi ülesandeid, ja selles osas on see olulisem kui kõik muu ettevõttes kasutatav tarkvara.

Tõenäoliselt alustasite selle artikli lugemist ja naeratasite sisimas, et kellele teie teave vajalik on. Kui nii, siis tõenäoliselt pole te müügiga kokku puutunud ja ei tea, kui nõutud on kvaliteetsed elavad kliendibaasid ja teave nende haldamise meetodite kohta. CRM-süsteemi sisu huvitab mitte ainult ettevõtte juhtkonda, vaid ka:  

• Kurjategijaid (harvem) — neil on eesmärk, mis on otseselt seotud teie ettevõttega, ja nad kasutavad kõiki ressursse, et teavet saada: altkäemaks töötajatele, häkkimine, teie andmete ostmine juhilt, vestlused juhiga jne.
• Töötajaid (tihedamini), kes võivad tegutseda teie konkurentide siseringi informantidena. Nad on lihtsalt valmis viima kaasa või müüma kliendibaasi enda kasuks.
• Harrastus häkkerid (väga harva) — võite sattuda pilves riski alla, kus teie andmed asuvad, või võrgu häkkimise alla, või ehk tahab keegi lihtsalt nalja pärast teie andmeid „välja võtta” (näiteks andmed farmaatsia või alkoholitootjate kohta — lihtsalt huvitav vaadata).

Kui keegi pääseb teie CRM-i, saab ta juurdepääsu teie operatiivsetele andmetele, mis sisaldavad suurt andmemassiivi, millega teenite suurema osa kasumist. Alates hetkest, mil pahatahtlik juurdepääs CRM-süsteemile on saavutatud, hakkab kasum naeratama sellele, kelle käes on kliendibaas. Või tema partneritele ja tellijatele (loe: uutele tööandjatele).

Hea, usaldusväärne CRM-süsteem on suuteline vähendama neid riske ja andma hulgaliselt meeldivaid boonuseid turvalisuse valdkonnas.

Nii et, mida CRM-süsteem suudab turvalisuse osas?

(räägime näitel RegionSoft CRM, kuna me ei saa vastutada teiste eest)

• Kaksfaktoriline autentimine USB-võtme ja parooli abil. RegionSoft CRM toetab kasutajate kahesammulist autentimist süsteemi sisselogimisel. Sel juhul tuleb sisselogimise ajal, peale parooli sisestamist, sisestada USB-porti arvutisse USB-võti, mis on eelnevalt initsialiseeritud. Kahesammuline autentimine aitab kaitsta parooli varguse või lekitamise eest.

Klõpsatav

• Käivitamine usaldusväärsetelt IP-aadressidelt ja MAC-aadressidelt. Suurenenud turvalisuse tagamiseks saab piirata kasutajate sisenemist registreeritud IP-aadressidelt ja MAC-aadressidelt. IP-aadressidena võivad kasutada nii sisevõrgu IP-aadresse kui ka väliseid aadresse, kui kasutaja ühendub kaugühenduse kaudu (internetis).
• Domeeni autoriseerimine (Windowsi autoriseerimine). Süsteemi käivitamine võib olla seadistatud nii, et sisselogimisel ei pea kasutaja parooli sisestama. Sel juhul toimub Windowsi autoriseerimine, mis määrab kasutaja WinAPI vahenditega. Süsteem käivitatakse selle kasutaja all, kelle profiilis arvuti käivitamise hetkel töötab.
• Teine mehhanism on privaatsed kliendid. Privaatsed kliendid on kliendid, keda näeb ainult nende kuraator. Teiste kasutajate nimekirjades neid kliente ei kuvata, isegi kui teistel kasutajatel on täielik lubade komplekt, sealhulgas administraatori õigused. Nii saab kaitsta näiteks eriti oluliste klientide rühma või mõne muu kriteeriumi alusel rühma, mis usaldatakse usaldusväärsele juhile.
• Ligipääsuhteid haldava mehhanismi — on CRM-s standardne ja esmane kaitsemeede. Kasutajate õiguste haldamise protsessi lihtsustamiseks, RegionSoft CRM on õigused määratud mitte konkreetsetele kasutajatele, vaid mallidele. Seejärel liidetakse kasutajatega sobiv mall, millel on kindel õiguste kogum. See võimaldab igaühel — alustades algajatest ja praktikantidest kuni direktoriteni — määrata volitused ja ligipääsu õigused, mis lubavad või ei luba neil pääseda konfidentsiaalsetele andmetele ja olulisele ärteabele.
• Automaatne andmete varundamise süsteem (backup), mida saab seadistada skripti serveri kaudu RegionSoft Application Server.

See on turvalisuse rakendus üheainsa süsteemi näitel, iga müüja omab oma poliitikaid. Siiski kaitseb CRM-süsteem tõeliselt teie teavet: te näete, kes ja millal on mingit aruannet eemaldanud, kes on andmeid vaadanud, kes on allalaadimist teinud ja palju muud. Isegi kui saate haavatavusest teada alles pärast seda, ei jäta te tegu karistamata ja leiate hõlpsasti töötaja, kes on ettevõtte usaldust ja lojaalsust kuritarvitanud.

Lõdvestus? Varakult! See kõige kaitse ettevaatamatus ja andmekaitse probleemide ignoreerimine võib mängida teiega halba mängu.

CRM-süsteem kui oht

Kui teie ettevõttes on vähemalt üks arvuti, on see juba küberohtude allikas. Seetõttu suureneb oht koos tööjaamade (ja töötajate) arvu ja kasutatava tarkvara mitmekesisusega. CRM-süsteemide osas on olukord keeruline — see tarkvara on mõeldud tähtsa ja väärtusliku vara, kliendibaasi ja äriteabe säilitamiseks ja töötlemiseks, samas kui räägime selle turvalisusest hirmus sõnumitest. Tegelikult ei ole kõik nii sünge, ja õige käsitsemise korral ei too CRM-süsteem teile midagi peale kasu ja turvalisuse.

Millised on ohtliku CRM-süsteemi tunnused?

Alustame väikese ekskursiooniga põhiteemadesse. CRM-id on cloud- ja desktop-tüüpi. Cloud-tüüpi tähendab, et nende andmebaas (SQL) asub mitte teie ettevõttes, vaid privaat- või avalikus pilves mõnes andmekeskuses (näiteks te töötate Tšeljabinskis, samas kui teie andmebaas jookseb superhea andmekeskuse Moskvas, sest CRM-i müüja otsustas nii ja tal on leping just selle teenusepakkujaga). Desktop-tüüpi (mida tuntakse ka kui on-premise, serveripõhised — mis pole enam nii täpne) paigaldab oma andmebaasi teie enda serveritesse (ärge joonistage ette tohutut serveriruumi kallite riiulitega, sageli väikeses ja keskmises ettevõttes on see üksik server või isegi tavaline modernne PC), st füüsiliselt teie kontoris.

Kumbagi tüüpi CRM-ile saab volitusteta juurde pääseda, kuid juurdepääsu kiirus ja lihtsus on erinevad, eriti kui räägime väike- ja keskmisest ettevõttest, mis ei hooli väga teabe turvalisusest.

Ohtlikkuse märk nr 1

Pilvepõhiste süsteemide probleemide suure tõenäosuse põhjus on sidemed, mis hõlmavad mitmeid osalisi: teie (CRM-i rentnik) - tarnija - teenusepakkuja (sellel võib olla pikem versioon: teie - tarnija - tarnija IT-teenusepakkuja - teenusepakkuja). 3-4 osalise suhtega kaasneb rohkem riske kui 1-2: probleem võib tekkida tarnija pool (lepingumuudatus, teenusepakkujale tasumata jätmine), teenusepakkuja pool (vägivaldne olukord, häkkimine, tehnilised probleemid), aheldaja pool (juhi või inseneri vahetus) jne. Loomulikult püüavad suured tarnijad omada varuandmekeskusi, hallata riske ja pidada oma DevOpsi osakonda, kuid see ei välista probleeme.

Kohalik CRM ei ole tavaliselt renditud, vaid ettevõtte poolt soetatud, mistõttu suhted on lihtsamad ja läbipaistvamad: tarnija seadistab CRM-i rakendamise ajal vajalikud turvatasemed (alates ligipääsuõiguste piiramisest ja füüsilisest USB-võtmetest kuni serveri paigaldamiseni betoonseina sisse jne) ning üleandmine toimub CRM-i omavatele ettevõtetele, kes saavad suurendada kaitset, palgata süsteemiadministraatori või pöörduda vajadusel oma tarkvaratarnija poole. Probleemid seonduvad töötajate haldamisega, võrgu kaitsmisega ja teabe füüsilise kaitsmisega. Kohaliku CRM-i kasutamisel ei peata isegi täielik internetiühenduse katkestamine tööd, kuna andmebaas asub „kodukontoris“.

Pilvetehnoloogiate kohta räägib üks meie töötajatest, kes on töötanud pilvetehnoloogia arendavat ettevõtet, sealhulgas CRM-i, tootmisprotsessides. „Ühes minu varasemas töökohas ehitas ettevõte midagi väga sarnast baast CRM-iga, mis oli seotud online-dokumentide jms. Ühel päeval nägime GA-s anomaalset aktiivsust ühelt tellimuselt kliendilt. Meie, analüütikute, üllatus oli suur, kui me, kuigi polnud arendajad, kuid kõrgendatud juurdepääsuga, suutsime lihtsalt lingi kaudu avada selle liidese, mida klient kasutas, ja vaadata, mis see populaarne tabel on. Pean mainima, et klient tundus olevat selle kommertsteabe nägemise vastu. Jah, see oli viga ja seda ei parandanud mitu aastat - ma arvan, et asi on endiselt samas seisus. Sellest ajast peale olen ma laua arvuti pooldaja ja ei usalda palju pilveteenuseid, kuigi muidugi kasutame neid nii töös kui ka isiklikus elus, kus on olnud ka lõbusaid fiaskosid.“

Meie küsitlusest Habrist, ja need on edasijõudnud ettevõtete töötajad

Andmete kadumine pilve CRM-süsteemist võib olla tingitud serveri rikete, serverite kättesaamatuse, force majeure'i, teenusepakkuja tegevuse lõpetamise jms tõttu. Pilv tähendab pidevat ja katkestusteta juurdepääsu internetile, seega peab kaitse olema erakordne: kooditasemel, ligipääsu õiguste tasemel ja lisaküberturvemõjude tasemel (nt kahefaktoriline autentimine).

Ohtude märk nr 2

Küsimus on isegi mitte ühes, vaid vendori ja tema poliitika seotud märkide grupis. Loetleme mõned olulised näited, millega oleme meie ja meie töötajad kokku puutunud.

• Teenusepakkuja võib valida ebausaldusväärse andmekeskuse, kus kliendi andmebaasid „keerlevad“. Ta säästab raha, ei kontrolli SLA-d, ei arvuta koormust ning tagajärg on teie jaoks fatäärne.
• Teenusepakkuja võib keelduda teenuse üleviimisest teie valitud andmekeskusesse. See on üsna levinud piirang SaaS-i jaoks.
• Teenusepakkujal võib olla õiguslik või majanduslik konflikt pilveteenuse pakkujaga, ning seetõttu võivad varukoopiate tegemise või näiteks kiirusel toimuvad toimingud olla piiratud.
• Tagasiside loomise teenust saab pakkuda erihinna eest. See on levinud praktika, millest CRM-süsteemi klient saab teadlikuks alles siis, kui varukoopia on vajalik, s.t. kõige kriitilisemas ja haavatavas etapis.
• Tellija andmetele võivad vendorite töötajad omada takistusteta ligipääsu.
• Andmed võivad lekida erinevatel põhjustel (inimfaktor, pettus, häkkerid jne).

Need probleemid esinevad tavaliselt väikeste või noorte vendorite seas, kuid ka suured on korduvalt olnud ebameeldivates olukordades (otsige google'ist). Seetõttu peaksite alati olema informatsiooni kaitseks meetodid ning eelnevalt arutama valitud CRM-süsteemi pakkujaga turvaküsimusi. Isegi fakt, et te olete probleemiga huvitatud, sunnib pakkujat lähenema rakendusele maksimaalse vastutustundlikkusega (see on eriti oluline, kui te tegelete mitte pakkuja kontoriga, vaid tema partneriga, kellele on oluline leping sõlmida ja komisjonitasu saada, mitte need teie kaheastmelised... no, te saite aru).

Ohtude märk №3

Turvalisuse korraldamine teie ettevõttes. Aastas tagasi rääkisime traditsiooniliselt turvalisusest Habr's ja viisin läbi küsitluse. Valim ei olnud eriti suur, kuid vastused olid näitlikud:

Artikli lõpus anname lingid oma publikatsioonidele, kus oleme põhjalikult käsitlenud suhteid süsteemis "ettevõte — töötaja — turvalisus", ja siin toome üles küsimuste nimekirja, millele tasub leida vastused teie ettevõtte seest (isegi kui CRM ei ole vajalik).

• Kus töötajad säilitavad paroole?
• Kuidas on korraldatud juurdepääs ettevõtte serverite salvestustele?
• Kuidas on kaitstud tarkvara, kus on äriline ja operatiivne teave?
• Kas kõigil töötajatel on aktiivsed viirusetõrjed?
• Kui paljud töötajad on kliendiandmetele juurdepääsuga ja kui kõrge on see juurdepääs?
• Kui palju teil on algajaid ja kui palju töötajaid on lahkumisprotsessis?
• Kui kaua olete rääkinud võtmetöötajatega ja kuulnud nende palveid ja kaebusi?
• Kas printimist kontrollitakse?
• Kuidas on korraldatud isiklike seadmete ühendamise poliitika arvutitega ja töö-Wi-Fi kasutamine?

Tegelikult on need põhiküsimused — kommentaarides lisatakse kindlasti sügavamat analüüsi, kuid see on alus, millest peaks olema teadlik isegi kahel töötajal tegutsev üksikettevõtja.

Kuidas kaitsta end?

• Varukoopiad on äärmiselt olulised asjad, mille kohta sageli unustatakse või millega ei tegeleta. Kui teil on lauaarvutisüsteem, seadke andmete varukoopia süsteem teatud sagedusega (näiteks RegionSoft CRM-i puhul saab seda teostada läbi RegionSoft Application Server) ja korraldage õigesti koopiate säilitamine. Kui teil on pilve CRM, uurige kindlasti enne lepingute sõlmimist, kuidas varukoopiate hallamine toimub: teil on vaja teavet sügavuse ja sageduse kohta, säilitamiskoha, varukoopia maksumuse kohta (tihti on tasuta vaid „viimaste andmete perioodi“ varukoopiad, samas kui täiendav, turvaline varukoopia toimub tasu eest). Ühesõnaga, siin kindlasti ei ole kokkuhoidu ega lohakust lubatud. Ja jah, ärge unustage kontrollida, kas varukoopiatest taastatav on toimiv.
• Ligipääsu õiguste jagamine funktsioonide ja andmete tasemel.
• Verkkoturvallisuus — CRM:n käyttö on sallittava vain toimiston sisäverkossa, mobiililaitteiden pääsy on rajoitettava, ja CRM-järjestelmään ei saa käyttää kotoa tai, mikä vielä pahempaa, julkisista verkoista (këshk, kahvilat, asiakkaiden toimistot jne.). Ole erityisen varovainen mobiiliversion kanssa — se tulisi tehdä vain erittäin rajoitetuksi versioksi käyttöä varten.
• Reaaliaikainen virustorjunta on tarpeen joka tapauksessa, mutta erityisesti yritystietojen turvallisuuden osalta. Estä politiikalla sen itsenäinen poistaminen käytöstä.
• Työntekijöiden kouluttaminen kyberturvallisuuden hygieniasäännöissä ei ole hukkaamista, vaan pakollinen tarve. On tärkeää, että kaikille kollegoille välitetään, että heidän on tärkeää paitsi varoittaa myös reagoida oikein mahdollisiin uhkiin. Internetin tai henkilökohtaisten sähköpostien käyttö kiellettäisiin toimistossa — tämä on menneisyyttä ja syy voimakkaaseen negatiivisuuteen, joten on työskeltävä ennaltaehkäisyn parissa.

Loomulikult, kasutades pilvesüsteemi, on võimalik saavutada piisav turvalisuse tase: kasutada spetsiaalseid servereid, konfigureerida marsruutereid ja jagada liiklust rakendustasandil ning andmebaasitase, kasutada erasektoreid, kehtestada rangeid turvareegleid administraatoritele, tagada pidev varundamine maksimaalse vajaliku sageduse ja ulatusega, teostada ööpäevaringset võrgu jälgimist... Kui sellele süveneda, siis ei tundu see nii keeruline — pigem kallis. Kuid praktika näitab, et selliseid meetmeid teevad ainult mõned ettevõtted, peamiselt suured. Seetõttu ei kõhkle me veel kord öelda: nii pilv kui ka lauaarvuti ei tohi elada iseseisvalt, kaitske oma andmeid.

Mõned väikesed, kuid olulised nõuanded kõikide CRM-süsteemi rakendamise olukordade jaoks

• Kontrollige teenusepakkujat haavatavuste osas — otsige teavet otsesõnadest «haavatavus Vendor Name», «Vendor Name häkitud», «Vendor Name andmete leke». See ei tohi olla ainus kriteerium uue CRM-süsteemi otsimisel, kuid sisemiselt on see kindlasti oluline ja eriti tähtis on mõista, mis põhjustas toimunud intsidente.
• Küsige teenusepakkujalt andmekeskuse kohta: kättesaadavus, kui palju neid on, kuidas on korraldatud avarii üleminek.
• Seadistage CRM-is turvamasinad, jälgige süsteemi sees toimuvat tegevust ja ebatavalisi tõuse.
• Keelake aruannete eksport, juurdepääs API-le mitte-iialistele töötajatele — see tähendab neile, kelle jaoks need funktsioonid ei ole pideva tegevuse jaoks vajalikud.
• Veenduge, et teie CRM-süsteemis oleks seadistatud protsesside ajalugu ja kasutajate tegevuse logimine.

Need on väiksed detailid, kuid need täiustavad suurepäraselt üldist pilti. Ning tegelikult ei ole julgeolekus väikesi asju.

CRM-süsteemi rakendamisel tagate oma andmete turvalisuse — kuid ainult siis, kui rakendamine toimub õigesti ja infotehnoloogia turvalisuse küsimusi ei tõrjuta kõrvale. Olge aus: on rumal osta auto, ilma et pidurid, ABS, õhkpadjad ja turvavööd oleksid üle vaadatud. Lõppude lõpuks on oluline mitte ainult sõita, vaid sõita ohutult ning jõuda sihtkohta terve ja koormata. Sama kehtib ka äri kohta.

Ja pidage meeles: kui tööohutuse reeglid kirjutatakse verega, on äri küberturvalisuse reeglid kirjutatud rahaga.

Küberturvalisuse ja CRM-süsteemi rolli kohta selles valdkonnas võite lugeda meie põhjalikke artikleid:

• Äri põhinstinkt: ettevõtete turvalisuse piirid — ülevaade võimalikest turvahaavatavustest ettevõtte tasandil ja ligikaudne avastamise skeem.
• Kas tuleb kaitsta andmeid töötajate eest — üksikasjalik analüüs sellest, kuidas töötajad saavad teie äri kahjustada ning kuidas nad seda äritegevuses teevad.

Kui otsite CRM-süsteemi, siis RegionSoft CRM-l on kuni 31. märtsini 15% soodustust.. Kui vajate CRM-i või ERP-d, uurige hoolikalt meie tooteid ja võrrelge nende võimalusi oma eesmärkide ja ülesannetega. Kui tekivad küsimused või raskused, kirjutage või helistage meile — korraldame teile individuaalse veebiettekanne — ilma hinnangute ja konkurentsieta.

Meie Telegrami kanal, kus jagame reklaamivabas vormis mitte just ametlikke asju CRM-ist ja business'ist.

Allikas: habr.com