מערכות CRM מנקודת מבט של אבטחת סייבר: הגנה או איום?

ה-31 במרץ הוא יום הגיבוי הבינלאומי, והשבוע שלפני תמיד מלא בסיפורים הקשורים לאבטחה. ביום שני, כבר למדנו על Asus שנפגעה ועל "שלושה יצרנים ללא שם". חברות מאמונות טפלות במיוחד יושבות על סיכות ומחטים כל השבוע, ועושות גיבויים. והכל בגלל שכולנו קצת לא זהירים מבחינת אבטחה: מישהו שוכח לחגור את חגורת הבטיחות במושב האחורי, מישהו מתעלם מתאריך התפוגה של מוצרים, מישהו שומר את הכניסה והסיסמה שלו מתחת למקלדת, ואפילו יותר טוב, רושם כל הסיסמאות במחברת. יש אנשים שמצליחים להשבית את האנטי-וירוס "כדי לא להאט את המחשב" ולא להשתמש בהפרדת זכויות גישה במערכות ארגוניות (איזה סודות בחברה של 50 אנשים!). כנראה, האנושות פשוט עדיין לא פיתחה את אינסטינקט השימור העצמי ברשת, שבאופן עקרוני יכול להפוך לאינסטינקט בסיסי חדש.

גם העסקים לא פיתחו אינסטינקטים כאלה. שאלה פשוטה: האם מערכת CRM היא איום אבטחת מידע או כלי אבטחה? לא סביר שמישהו ייתן תשובה מדויקת מיד. כאן צריך להתחיל, כפי שלימדו אותנו בשיעורי אנגלית: זה תלוי... זה תלוי בהגדרות, צורת אספקת ה-CRM, ההרגלים והאמונות של הספק, מידת ההתעלמות מהעובדים, התחכום של התוקפים . הרי הכל ניתן לפרוץ. אז איך לחיות?

מדובר באבטחת מידע בעסקים קטנים ובינוניים מתוך LiveJournal

מערכת CRM כהגנה

הגנה על נתונים מסחריים ותפעוליים ואחסון מאובטח של בסיס הלקוחות שלך היא אחת המשימות המרכזיות של מערכת CRM, ובכך היא בראש וכתפיים מעל כל שאר תוכנות האפליקציה בחברה.

אין ספק שהתחלת לקרוא את המאמר הזה וחייכת עמוק בפנים, ואמרת, מי צריך את המידע שלך. אם כן, אז כנראה שלא עסקתם במכירות ואינכם יודעים עד כמה יש ביקוש לבסיסי לקוחות "חיים" ואיכותיים ומידע על שיטות עבודה עם בסיס זה. התכנים של מערכת ה-CRM מעניינים לא רק את הנהלת החברה, אלא גם את:  

• תוקפים (פחות פעמים) - יש להם מטרה הקשורה ספציפית לחברה שלך וישתמשו בכל המשאבים כדי להשיג נתונים: שוחד לעובדים, פריצה, קניית הנתונים שלך ממנהלים, ראיונות עם מנהלים וכו'.
• עובדים (לעיתים קרובות יותר) שיכולים לשמש כמקורבים עבור המתחרים שלך. הם פשוט מוכנים לקחת או למכור את בסיס הלקוחות שלהם למען הרווח שלהם.
• עבור האקרים חובבים (לעיתים רחוקות מאוד) - אתה עלול להיפרץ לענן שבו הנתונים שלך נמצאים או שהרשת נפרצה, או אולי מישהו רוצה "לשלוף" את הנתונים שלך בשביל הכיף (לדוגמה, נתונים על סיטונאי תרופות או אלכוהול - פשוט מעניין לראות).

אם מישהו ייכנס ל-CRM שלך, תהיה לו גישה לפעילות התפעולית שלך, כלומר לנפח הנתונים שבעזרתם אתה מרוויח את רוב הרווחים שלך. ומרגע שהושגה גישה זדונית למערכת ה-CRM, הרווחים מתחילים לחייך למי שבסיס הלקוחות מגיע לידיו. ובכן, או שותפיו ולקוחותיו (קראו – מעסיקים חדשים).

טוב, אמין מערכת CRM מסוגל לכסות את הסיכונים הללו ולהעניק שלל בונוסים נעימים בתחום האבטחה.

אז מה יכולה מערכת CRM לעשות מבחינת אבטחה?

(אנחנו אגיד לך עם דוגמה RegionSoft CRM, כי אנחנו לא יכולים להיות אחראים לאחרים)

• אימות דו-גורמי באמצעות מפתח USB וסיסמה. RegionSoft CRM תומך במצב הרשאת משתמש דו-גורמי בעת הכניסה למערכת. במקרה זה, בעת הכניסה למערכת, בנוסף להזנת הסיסמה, יש להכניס מפתח USB שעבר אתחול מראש ליציאת ה-USB של המחשב. מצב הרשאה דו-גורמי מסייע בהגנה מפני גניבת סיסמאות או חשיפה.

ניתן ללחוץ

• הפעל מכתובות IP מהימנות וכתובות MAC. לאבטחה משופרת, אתה יכול להגביל את הכניסה למשתמשים רק מכתובות IP רשומות וכתובות MAC. הן כתובות IP פנימיות ברשת המקומית והן כתובות חיצוניות יכולות לשמש ככתובות IP אם המשתמש מתחבר מרחוק (דרך האינטרנט).
• הרשאת דומיין (הרשאת Windows). ניתן להגדיר את הפעלת המערכת כך שסיסמת המשתמש אינה נדרשת בעת הכניסה. במקרה זה, מתרחשת הרשאת Windows, המזהה את המשתמש המשתמש ב-WinAPI. המערכת תופעל תחת המשתמש שתחת הפרופיל שלו המחשב פועל בזמן הפעלת המערכת.
• מנגנון נוסף הוא לקוחות פרטיים. לקוחות פרטיים הם לקוחות שרק הממונה עליהם יכול לראות. לקוחות אלו לא יופיעו ברשימות של משתמשים אחרים, גם אם למשתמשים אחרים יש הרשאות מלאות, כולל זכויות מנהל. כך תוכלו להגן, למשל, על מאגר לקוחות חשובים במיוחד או על קבוצה מסיבה אחרת, אשר יופקד בידי מנהל אמין.
• מנגנון לחלוקת זכויות גישה - אמצעי אבטחה סטנדרטי ועיקרי ב-CRM. כדי לפשט את תהליך ניהול זכויות המשתמש, ב RegionSoft CRM הזכויות מוקצות לא למשתמשים ספציפיים, אלא לתבניות. ולמשתמש עצמו מוקצית תבנית כזו או אחרת, שיש לה קבוצה מסוימת של זכויות. זה מאפשר לכל עובד - החל מעובדים חדשים ועד מתמחים ועד דירקטורים - להקצות הרשאות וזכויות גישה שיאפשרו/ימנעו ממנו גישה לנתונים רגישים ולמידע עסקי רגיש.
• מערכת גיבוי נתונים אוטומטית (גיבויים)ניתן להגדרה באמצעות שרת סקריפטים RegionSoft Application Server.

זהו יישום אבטחה באמצעות מערכת בודדת כדוגמה, לכל ספק יש מדיניות משלו. עם זאת, מערכת ה-CRM באמת מגנה על המידע שלך: אתה יכול לראות מי לקח דוח זה או אחר ובאיזה שעה, מי צפה באילו נתונים, מי הוריד אותו ועוד ועוד. גם אם תגלו על הפגיעות לאחר מעשה, לא תשאירו את המעשה ללא עונש ותוכלו לזהות בקלות את העובד שניצל לרעה את האמון והנאמנות של החברה.

האם אתה רגוע? מוקדם! הגנה זו יכולה לפעול נגדך אם אתה לא זהיר ומתעלם מבעיות הגנת מידע.

מערכת CRM כאיום

אם לחברה שלך יש לפחות מחשב אחד, זה כבר מקור לאיום סייבר. בהתאם לכך, רמת האיום עולה עם מספר עמדות העבודה (והעובדים) ועם מגוון התוכנות המותקנות והשימוש בהן. והדברים לא פשוטים עם מערכות CRM – אחרי הכל, מדובר בתוכנית שנועדה לאחסן ולעבד את הנכס החשוב והיקר ביותר: מאגר לקוחות ומידע מסחרי, והנה אנחנו מספרים סיפורי זוועה על האבטחה שלו. למעשה, לא הכל כל כך קודר מקרוב, ואם מטפלים בו נכון, לא תקבלו אלא תועלת וביטחון ממערכת ה-CRM.

מהם הסימנים למערכת CRM מסוכנת?

נתחיל בטיול קצר אל היסודות. מערכות CRM מגיעות בגרסאות ענן ושולחן עבודה. עננים הם אלה שה-DBMS (בסיס הנתונים) שלהם לא נמצא בחברה שלך, אלא בענן פרטי או ציבורי באיזה מרכז נתונים (למשל, אתה יושב בצ'ליאבינסק, ומסד הנתונים שלך פועל במרכז נתונים סופר מגניב במוסקבה , מכיוון שספק ה-CRM החליט כך ויש לו הסכם עם ספק מסוים זה). שולחן העבודה (המכונה גם שרת מקומי - וזה כבר לא כל כך נכון) מבסס את ה-DBMS שלהם על השרתים שלך (לא, לא, אל תדמיין חדר שרתים ענק עם מתלים יקרים, לרוב בעסקים קטנים ובינוניים זה שרת בודד או אפילו מחשב רגיל בתצורה מודרנית), כלומר פיזית במשרד שלך.

אפשר לקבל גישה לא מורשית לשני סוגי ה-CRM, אבל המהירות וקלות הגישה שונים, במיוחד אם אנחנו מדברים על SMB שלא אכפת להם הרבה מאבטחת מידע.

סימן סכנה מס' 1

הסיבה לסבירות הגבוהה יותר לבעיות בנתונים במערכת ענן היא הקשר המחובר באמצעות מספר קישורים: אתה (דייר CRM) - ספק - ספק (יש גרסה ארוכה יותר: אתה - ספק - מיקור חוץ IT של הספק - ספק) . ל-3-4 קישורים במערכת יחסים יש יותר סיכונים מ-1-2: בעיה יכולה להתרחש בצד של הספק (שינוי חוזה, אי תשלום שירותי ספק), בצד של הספק (כוח עליון, פריצה, בעיות טכניות), בצד של מיקור חוץ (החלפת מנהל או מהנדס) וכו'. כמובן, ספקים גדולים מנסים להחזיק מרכזי נתונים לגיבוי, לנהל סיכונים ולתחזק את מחלקת ה-DevOps שלהם, אבל זה לא שולל בעיות.

בדרך כלל לא מושכרת CRM לשולחן העבודה, אלא נרכשת על ידי החברה; בהתאם, הקשר נראה פשוט ושקוף יותר: במהלך יישום ה-CRM, הספק מגדיר את רמות האבטחה הדרושות (מהבדל זכויות גישה ומפתח USB פיזי ועד סגירת ה-CRM שרת בקיר בטון וכו') ומעביר את השליטה לחברה שבבעלותה ה-CRM, שיכולה להגביר את ההגנה, לשכור מנהל מערכת או לפנות לספק התוכנה שלה לפי הצורך. הבעיות מסתכמות בעבודה עם עובדים, הגנה על הרשת והגנה פיזית על מידע. אם אתה משתמש ב-CRM שולחני, אפילו כיבוי מוחלט של האינטרנט לא יפסיק את העבודה, מכיוון שמסד הנתונים ממוקם במשרד ה"ביתי" שלך.

אחד העובדים שלנו, שעבד בחברה שפיתחה מערכות משרד משולבות מבוססות ענן, כולל CRM, מספר על טכנולוגיות ענן. "באחת העבודות שלי, החברה יצרה משהו מאוד דומה ל-CRM בסיסי, והכל היה קשור למסמכים מקוונים וכן הלאה. יום אחד ב-GA ראינו פעילות חריגה של אחד מלקוחותינו המנויים. תארו לעצמכם את ההפתעה שלנו, אנליסטים, כשאנחנו, לא מפתחים, אלא בעלי רמת גישה גבוהה, פשוט הצלחנו לפתוח את הממשק שבו השתמש הלקוח באמצעות קישור ולראות איזה סוג של שלט פופולרי יש לו. אגב, נראה שהלקוח לא היה רוצה שאף אחד יראה את הנתונים המסחריים האלה. כן, זה היה באג, וזה לא תוקן במשך כמה שנים - לדעתי, הדברים עדיין שם. מאז, אני חובב שולחן עבודה ולא ממש סומך על העננים, אם כי, כמובן, אנחנו משתמשים בהם בעבודה ובחיים האישיים שלנו, שם גם היו לנו כמה טעויות כיף".

מהסקר שלנו על Habré, ואלה עובדים בחברות מתקדמות

אובדן נתונים ממערכת CRM בענן עשוי לנבוע מאובדן נתונים עקב כשל בשרת, חוסר זמינות של שרתים, כוח עליון, הפסקת פעילות ספק וכו'. משמעות הענן היא גישה מתמדת וללא הפרעות לאינטרנט, וההגנה חייבת להיות חסרת תקדים: ברמת הקוד, זכויות הגישה, אמצעי אבטחת סייבר נוספים (למשל אימות דו-גורמי).

סימן סכנה מס' 2

אנחנו אפילו לא מדברים על מאפיין אחד, אלא על קבוצת מאפיינים הקשורים לספק ולמדיניות שלו. הרשו לנו לפרט כמה דוגמאות חשובות שאנו והעובדים שלנו נתקלנו בהן.

• הספק עשוי לבחור במרכז נתונים לא אמין מספיק שבו ה-DBMS של הלקוחות "יסתובב". הוא יחסוך כסף, לא ישלוט ב-SLA, לא יחשב את העומס, והתוצאה תהיה קטלנית עבורך.
• הספק רשאי לשלול את הזכות להעביר את השירות למרכז הנתונים לפי בחירתך. זוהי מגבלה נפוצה למדי עבור SaaS.
• ייתכן שלספק יש התנגשות משפטית או כלכלית עם ספק הענן, ואז במהלך ה"עימות", פעולות הגיבוי או, למשל, המהירות עשויות להיות מוגבלות.
• השירות של יצירת גיבויים עשוי להינתן בתוספת מחיר. נוהג נפוץ שלקוח של מערכת CRM יכול ללמוד עליו רק ברגע בו יש צורך בגיבוי, כלומר ברגע הקריטי והפגיע ביותר.
• לעובדי הספק יכולה להיות גישה ללא הפרעה לנתוני לקוחות.
• דליפות נתונים מכל סוג עלולות להתרחש (טעויות אנוש, הונאה, האקרים וכו').

בדרך כלל בעיות אלו קשורות לספקים קטנים או צעירים, אולם, גדולים נקלעו שוב ושוב לצרות (גוגל את זה). לכן, תמיד אמורות להיות לך דרכים להגן על המידע בצד שלך + לדון בבעיות אבטחה עם ספק מערכת ה-CRM שנבחר מראש. אפילו עצם ההתעניינות שלך בבעיה כבר תאלץ את הספק להתייחס לביצוע בצורה אחראית ככל האפשר (חשוב לעשות זאת במיוחד אם אתה לא מתעסק עם משרד הספק, אלא עם שותפו, שעבורו זה מיועד. חשוב לערוך הסכם ולקבל עמלה, ולא שני הגורמים האלה... טוב הבנתם).

סימן סכנה מס' 3

ארגון עבודת האבטחה בחברה שלך. לפני שנה כתבנו באופן מסורתי על אבטחה ב-Habré וערכנו סקר. המדגם לא היה גדול במיוחד, אבל התשובות הן מעידות:

בסוף המאמר נביא קישורים לפרסומים שלנו, בהם בדקנו בפירוט את הקשר במערכת "חברה-עובד-אבטחה", וכאן נביא רשימת שאלות שעליהן יש למצוא את התשובות בתוך החברה שלך (גם אם אינך זקוק ל-CRM).

• היכן עובדים מאחסנים סיסמאות?
• כיצד מאורגנת הגישה לאחסון בשרתי החברה?
• כיצד מוגנת תוכנה המכילה מידע מסחרי ותפעולי?
• האם לכל העובדים תוכנת אנטי-וירוס פעילה?
• לכמה עובדים יש גישה לנתוני לקוחות, ואיזו רמת גישה יש לזה?
• כמה עובדים חדשים יש לך וכמה עובדים נמצאים בתהליך עזיבה?
• כמה זמן תקשרתם עם עובדי מפתח והקשבתם לבקשותיהם ותלונותיהם?
• האם מדפסות מנוטרות?
• כיצד מאורגנת המדיניות לחיבור הגאדג'טים שלך למחשב האישי שלך, כמו גם שימוש ב-Wi-Fi בעבודה?

למעשה, אלו שאלות בסיסיות — כנראה יתווספו הארדקור בתגובות, אבל זה הבסיס, שאת היסודות שלהם צריך לדעת אפילו יזם בודד עם שני עובדים.

אז איך להגן על עצמך?

• גיבויים הם הדבר החשוב ביותר שלעתים קרובות נשכח או לא מטפלים בו. אם יש לך מערכת שולחנית, הגדר מערכת גיבוי נתונים בתדירות נתונה (לדוגמה, עבור RegionSoft CRM ניתן לעשות זאת באמצעות RegionSoft Application Server) ולארגן אחסון נכון של עותקים. אם יש לך CRM בענן, הקפד לברר לפני סגירת חוזה כיצד העבודה עם גיבויים מאורגנת: אתה צריך מידע על העומק והתדירות, מיקום האחסון, עלות הגיבוי (לעיתים קרובות רק גיבויים של "הנתונים העדכניים ביותר לתקופה" הם בחינם, והעתקת גיבוי מאובטחת מלאה מסופקת כשירות בתשלום). באופן כללי, זה בהחלט לא המקום לחיסכון או רשלנות. וכן, אל תשכחו לבדוק מה משוחזר מגיבויים.
• הפרדת זכויות גישה ברמת הפונקציה והנתונים.
• אבטחה ברמת הרשת - עליך לאפשר שימוש ב-CRM רק בתוך רשת המשנה של המשרד, להגביל את הגישה למכשירים ניידים, לאסור עבודה עם מערכת ה-CRM מהבית או, גרוע מכך, מרשתות ציבוריות (חללי עבודה משותפים, בתי קפה, משרדי לקוחות , וכו.). היזהר במיוחד עם הגרסה הניידת - תן לה להיות רק גרסה קטומה מאוד לעבודה.
• יש צורך באנטי וירוס עם סריקה בזמן אמת בכל מקרה, אבל במיוחד במקרה של אבטחת מידע ארגוני. ברמת המדיניות, אסור להשבית זאת בעצמך.
• הדרכת עובדים בנושא היגיינת סייבר אינה בזבוז זמן, אלא צורך דחוף. יש צורך לשדר לכל הקולגות שחשוב להם לא רק להזהיר, אלא גם להגיב נכון לאיום המתקבל. איסור השימוש באינטרנט או במייל שלך במשרד הוא נחלת העבר וגורם לשליליות חריפה, ולכן תצטרך לעבוד על מניעה.

כמובן שבאמצעות מערכת ענן ניתן להגיע לרמת אבטחה מספקת: שימוש בשרתים ייעודיים, הגדרת נתבים והפרדת תעבורה ברמת האפליקציה וברמת מסד הנתונים, שימוש ברשתות משנה פרטיות, הצגת כללי אבטחה קפדניים למנהלים, הבטחת פעולה רציפה באמצעות גיבויים בתדירות ובשלמות המקסימלית הדרושים, כדי לנטר את הרשת מסביב לשעון... אם אתה חושב על זה, זה לא כל כך קשה, אלא יקר למדי. אבל, כפי שמראה בפועל, רק חלק מהחברות, בעיקר גדולות, נוקטות באמצעים כאלה. לכן, אנו לא מהססים לומר שוב: גם הענן וגם שולחן העבודה לא צריכים לחיות לבד; הגן על הנתונים שלך.

כמה טיפים קטנים אך חשובים לכל המקרים של הטמעת מערכת CRM

• בדוק את הספק עבור פרצות - חפש מידע באמצעות שילובים של מילים "פגיעות שם ספק", "שם ספק פרוץ", "דליפת נתונים של שם ספק". זה לא אמור להיות הפרמטר היחיד בחיפוש אחר מערכת CRM חדשה, אלא פשוט צריך לסמן את תת-הקורטקס, ובעיקר חשוב להבין את הסיבות לאירועים שהתרחשו.
• שאל את הספק לגבי מרכז הנתונים: זמינות, כמה יש, איך מאורגן כשל בכשל.
• הגדר אסימוני אבטחה ב-CRM שלך, עקוב אחר הפעילות בתוך המערכת ופייקים חריגים.
• השבת ייצוא דוחות וגישה דרך API לעובדים שאינם הליבה - כלומר, אלו שאינם זקוקים לפונקציות הללו לפעילותם השוטפת.
• ודא שמערכת ה-CRM שלך מוגדרת לרישום תהליכים ולרישום פעולות משתמש.

אלה דברים קטנים, אבל הם משלימים בצורה מושלמת את התמונה הכוללת. ולמעשה, אין דברים קטנים בטוחים.

על ידי הטמעת מערכת CRM, אתה מבטיח את אבטחת הנתונים שלך - אך רק אם ההטמעה מתבצעת בצורה מוכשרת, ובעיות אבטחת מידע אינן נדחקות לרקע. מסכים, זה טיפשי לקנות רכב ולא לבדוק את הבלמים, ABS, כריות האוויר, חגורות הבטיחות, EDS. הרי העיקר הוא לא רק ללכת, אלא ללכת בשלום ולהגיע לשם בשלום. זה אותו דבר עם עסקים.

וזכרו: אם כללי הבטיחות בעבודה כתובים בדם, כללי אבטחת הסייבר העסקיים כתובים בכסף.

בנושא אבטחת סייבר ומקומה של מערכת ה-CRM בה, תוכלו לקרוא את המאמרים המפורטים שלנו:

• אינסטינקט עסקי בסיסי: הקצה של אבטחת תאגידים - סקירה כללית של איומי אבטחה אפשריים בתחום הארגוני ותוכנית זיהוי משוערת.
• האם להגן על נתונים מפני עובדים? - ניתוח מפורט של האופן שבו עובדים יכולים לפגוע בעסק שלך וכיצד הם עושים זאת בתחום המסחרי.

אם אתה מחפש מערכת CRM, אז הלאה RegionSoft CRM עד 31 במרץ 15% הנחה. אם אתה צריך CRM או ERP, למד בקפידה את המוצרים שלנו והשווה את היכולות שלהם עם המטרות והיעדים שלך. אם יש לכם שאלות או קשיים, כתבו או התקשרו, נארגן עבורכם מצגת אונליין פרטנית - ללא דירוגים או צלצולים.

הערוץ שלנו בטלגרם, שבו, ללא פרסום, אנו כותבים דברים לא לגמרי רשמיים על CRM ועסקים.

מקור: www.habr.com