사이버 보안 관점에서 본 CRM 시스템: 보호인가 위협인가?

31월 50일은 국제 백업의 날로, 그 전날은 늘 보안 관련 이야기로 가득 차 있습니다. 월요일에 우리는 이미 손상된 Asus와 "이름이 알려지지 않은 세 제조업체"에 대해 알게 되었습니다. 특히 미신을 믿는 회사들은 일주일 내내 백업을 하면서 곤경에 처해 있습니다. 그리고 우리 모두 보안 측면에서 약간 부주의하기 때문입니다. 누군가 뒷좌석에서 안전 벨트를 매는 것을 잊고 누군가가 제품의 만료 날짜를 무시하고 누군가 로그인 및 비밀번호를 키보드 아래에 저장하고 더 나은 방법으로 적어 두기 때문입니다. 노트북의 모든 비밀번호. 일부 개인은 "컴퓨터 속도를 늦추지 않기 위해" 바이러스 백신을 비활성화하고 기업 시스템에서 액세스 권한 분리를 사용하지 않습니다(XNUMX명으로 구성된 회사의 비밀은 무엇입니까!). 아마도 인류는 원칙적으로 새로운 기본 본능이 될 수 있는 사이버 자기 보존 본능을 아직 개발하지 않았을 것입니다.

사업 역시 그러한 본능을 발전시키지 못했습니다. 간단한 질문: CRM 시스템은 정보 보안 위협입니까 아니면 보안 도구입니까? 누구도 당장 정확한 답변을 해줄 가능성은 거의 없습니다. 여기서부터 시작해야 합니다. 영어 수업에서 배웠던 것처럼 상황에 따라 다릅니다... 설정, CRM 전달 형식, 공급업체의 습관 및 신념, 직원을 무시하는 정도, 공격자의 정교함에 따라 다릅니다. . 결국 모든 것이 해킹될 수 있습니다. 그럼 어떻게 살아야 할까요?

중소기업의 정보보안입니다. 라이브저널에서

보호 수단으로서의 CRM 시스템

상업 및 운영 데이터를 보호하고 고객 기반을 안전하게 저장하는 것은 CRM 시스템의 주요 작업 중 하나이며, 여기서는 회사의 다른 모든 응용 프로그램 소프트웨어보다 중요합니다.

분명히 당신은 이 기사를 읽기 시작했고 누가 당신의 정보가 필요한지 말하면서 깊은 미소를 지었습니다. 그렇다면 귀하는 아마도 판매를 처리해 본 적이 없으며 "실시간" 및 고품질 고객 기반에 대한 수요가 얼마나 되는지, 그리고 이 기반을 사용하는 방법에 대한 정보를 알지 못할 것입니다. CRM 시스템의 내용은 회사 경영진뿐만 아니라 다음과 같은 측면에서도 흥미롭습니다.  

• 공격자(드물게) - 이들은 특히 귀하의 회사와 관련된 목표를 가지고 있으며 직원 뇌물 수수, 해킹, 관리자로부터 데이터 구매, 관리자와의 인터뷰 등 모든 리소스를 사용하여 데이터를 얻습니다.
• 경쟁사의 내부자 역할을 할 수 있는 직원(더 자주). 그들은 단순히 자신의 이익을 위해 고객 기반을 빼앗거나 팔 준비가 되어 있습니다.
• 아마추어 해커의 경우(매우 드물게) 데이터가 있는 클라우드로 해킹당하거나 네트워크가 해킹당하거나 누군가가 재미로 데이터를 "꺼내려고" 할 수도 있습니다(예: 의약품 또는 주류 도매업체에 대한 데이터). 보기만 해도 흥미롭습니다 ).

누군가 귀하의 CRM에 접속하면 귀하의 운영 활동, 즉 귀하가 수익의 대부분을 창출하는 데 사용되는 데이터 양에 액세스할 수 있습니다. 그리고 CRM 시스템에 악의적으로 액세스하는 순간부터 고객 기반을 손에 넣은 사람에게 이익이 미소를 짓기 시작합니다. 글쎄, 또는 그의 파트너 및 고객 (읽기 - 새로운 고용주).

좋다, 믿을만하다 CRM 시스템 이러한 위험을 커버하고 보안 분야에서 많은 즐거운 보너스를 제공할 수 있습니다.

그렇다면 보안 측면에서 CRM 시스템은 무엇을 할 수 있을까요?

(예를 들어서 말씀드리겠습니다 리전소프트 CRM, 왜냐하면 우리는 다른 사람에 대해 책임을 질 수 없습니다)

• USB 키와 비밀번호를 사용한 이중 인증. 리전소프트 CRM 시스템에 로그인할 때 XNUMX단계 사용자 인증 모드를 지원합니다. 이 경우 시스템에 로그인할 때 비밀번호를 입력하는 것 외에 미리 초기화된 USB 키를 컴퓨터의 USB 포트에 삽입해야 합니다. XNUMX단계 인증 모드는 비밀번호 도용이나 공개를 방지하는 데 도움이 됩니다.

클릭 가능

• 신뢰할 수 있는 IP 주소 및 MAC 주소에서 실행하세요. 보안 강화를 위해 사용자가 등록된 IP 주소와 MAC 주소에서만 로그인하는 것을 제한할 수 있습니다. 사용자가 원격(인터넷을 통해)으로 연결하는 경우 로컬 네트워크의 내부 IP 주소와 외부 주소 모두 IP 주소로 사용할 수 있습니다.
• 도메인 인증(Windows 인증). 로그인할 때 사용자 비밀번호가 필요하지 않도록 시스템 시작을 구성할 수 있습니다. 이 경우 WinAPI를 사용하여 사용자를 식별하는 Windows 인증이 발생합니다. 시스템은 시스템이 시작될 때 컴퓨터가 실행되고 있는 프로필의 사용자로 시작됩니다.
• 또 다른 메커니즘은 개인 고객. 개인 클라이언트는 감독자만 볼 수 있는 클라이언트입니다. 다른 사용자가 관리자 권한을 포함한 전체 권한을 갖고 있더라도 이러한 클라이언트는 다른 사용자의 목록에 표시되지 않습니다. 이러한 방식으로, 예를 들어 특히 중요한 클라이언트 풀이나 다른 이유로 그룹을 보호할 수 있으며 이를 신뢰할 수 있는 관리자에게 맡길 수 있습니다.
• 접근권한 분할 메커니즘 — CRM의 표준이자 기본 보안 수단입니다. 사용자 권한 관리 프로세스를 단순화하려면 리전소프트 CRM 권한은 특정 사용자가 아닌 템플릿에 할당됩니다. 그리고 사용자 자신에게는 특정 권한 세트가 있는 하나 이상의 템플릿이 할당됩니다. 이를 통해 신입사원부터 인턴, 이사에 이르기까지 각 직원은 민감한 데이터와 민감한 비즈니스 정보에 대한 액세스를 허용/방지하는 권한과 액세스 권한을 할당할 수 있습니다.
• 자동 데이터 백업 시스템(백업)스크립트 서버를 통해 구성 가능 RegionSoft 애플리케이션 서버.

이는 단일 시스템을 예로 들어 보안을 구현하는 것이며, 각 공급업체에는 자체 정책이 있습니다. 그러나 CRM 시스템은 실제로 귀하의 정보를 보호합니다. 누가 이 보고서 또는 해당 보고서를 가져갔는지, 언제, 누가 어떤 데이터를 보았는지, 누가 다운로드했는지 등을 확인할 수 있습니다. 사후에 취약점을 알게 되더라도 그 행위를 방치할 수 없으며 회사의 신뢰와 충성심을 남용한 직원을 쉽게 식별할 수 있습니다.

당신은 편안합니까? 일찍! 이러한 보호는 귀하가 부주의하고 데이터 보호 문제를 무시하는 경우 귀하에게 불리하게 작용할 수 있습니다.

위협으로서의 CRM 시스템

회사에 PC가 한 대 이상 있다면 이는 이미 사이버 위협의 원천입니다. 따라서 워크스테이션(및 직원)의 수와 설치 및 사용되는 소프트웨어의 종류에 따라 위협 수준이 증가합니다. 그리고 CRM 시스템에서는 일이 쉽지 않습니다. 결국 이것은 가장 중요하고 값 비싼 자산, 즉 고객 기반 및 상업 정보를 저장하고 처리하도록 설계된 프로그램이며 여기서 우리는 보안에 대한 공포 이야기를 전하고 있습니다. 사실, 가까이서 보면 모든 것이 그렇게 우울한 것은 아니며, 올바르게 처리한다면 CRM 시스템의 혜택과 보안 외에는 아무것도 얻을 수 없습니다.

위험한 CRM 시스템의 징후는 무엇입니까?

기본 사항에 대한 간략한 설명부터 시작하겠습니다. CRM은 클라우드 및 데스크톱 버전으로 제공됩니다. 클라우드 클라우드는 DBMS(데이터베이스)가 회사에 있지 않고 일부 데이터 센터의 프라이빗 또는 퍼블릭 클라우드에 있는 것입니다(예를 들어, 귀하는 첼랴빈스크에 있고 데이터베이스는 모스크바의 매우 멋진 데이터 센터에서 실행되고 있습니다) , CRM 공급업체가 그렇게 결정했고 이 특정 공급업체와 계약을 맺었기 때문입니다.) 데스크탑(온프레미스 서버라고도 함 - 더 이상 사실이 아님)은 자체 서버에 DBMS를 기반으로 합니다. 단일 서버 또는 최신 구성의 일반 PC), 즉 물리적으로 사무실에 있습니다.

두 가지 유형의 CRM 모두에 무단 액세스가 가능하지만, 특히 정보 보안에 크게 신경 쓰지 않는 SMB의 경우 액세스 속도와 용이성이 다릅니다.

위험 신호 #1

클라우드 시스템의 데이터 문제가 발생할 가능성이 높은 이유는 여러 링크로 연결된 관계입니다. 귀하(CRM 테넌트) - 공급업체 - 제공업체(더 긴 버전이 있습니다: 귀하 - 공급업체 - 공급업체의 IT 아웃소싱 업체 - 제공업체) . 관계의 3~4개 링크는 1~2개보다 위험이 더 높습니다. 공급업체 측(계약 변경, 제공업체 서비스 미지급), 제공업체 측(불가항력, 해킹, 기술적 문제)에 문제가 발생할 수 있습니다. 외주업체 측(관리자 또는 엔지니어 변경) 등 물론 대규모 공급업체에서는 백업 데이터 센터를 보유하고 위험을 관리하며 DevOps 부서를 유지하려고 노력하지만 이것이 문제를 배제할 수는 없습니다.

데스크톱 CRM은 일반적으로 임대하지 않고 회사에서 구매하므로 관계가 더 간단하고 투명해 보입니다. CRM을 구현하는 동안 공급업체는 필요한 보안 수준을 구성합니다(접근 권한 및 물리적 USB 키 구분부터 보안에 이르기까지). 서버를 콘크리트 벽 등에 설치)하고 CRM을 소유한 회사에 제어권을 넘겨 보호를 강화하거나, 시스템 관리자를 고용하거나, 필요에 따라 소프트웨어 공급업체에 문의할 수 있습니다. 문제는 직원과의 협력, 네트워크 보호, 정보의 물리적 보호로 귀결됩니다. 데스크톱 CRM을 사용하는 경우 데이터베이스가 "홈" 사무실에 있으므로 인터넷이 완전히 종료되더라도 작업이 중단되지 않습니다.

CRM 등 클라우드 기반 통합 사무 시스템을 개발한 회사에 근무했던 한 직원이 클라우드 기술에 대해 이야기합니다. “내가 일하는 곳 중 하나에서 회사는 기본 CRM과 매우 유사한 것을 만들고 있었고 모든 것이 온라인 문서 등에 연결되어 있었습니다. 어느 날 GA에서 우리는 구독자 클라이언트 중 하나에서 비정상적인 활동을 목격했습니다. 우리가 개발자는 아니지만 높은 수준의 액세스 권한을 가지고 링크를 통해 클라이언트가 사용한 인터페이스를 열고 그가 어떤 종류의 인기 있는 기호를 가지고 있는지 확인할 수 있었을 때 분석가인 우리가 얼마나 놀랐는지 상상해 보십시오. 그건 그렇고, 클라이언트는 다른 사람이 이 상업 데이터를 보는 것을 원하지 않는 것 같습니다. 예, 그것은 버그였으며 몇 년 동안 수정되지 않았습니다. 제 생각에는 문제가 여전히 존재합니다. 그 이후로 나는 데스크탑 매니아였고 클라우드를 별로 신뢰하지 않았습니다. 물론 우리는 직장과 개인 생활에서 클라우드를 사용하고 재미있는 농담도 했습니다."

하브레에 대한 설문조사 결과, 선진기업 임직원들입니다.

클라우드 CRM 시스템의 데이터 손실은 서버 오류, 서버 사용 불가, 불가항력, 공급업체 활동 종료 등으로 인한 데이터 손실로 인해 발생할 수 있습니다. 클라우드는 인터넷에 대한 지속적이고 중단 없는 액세스를 의미하며 코드, 액세스 권한, 추가 사이버 보안 조치(예: XNUMX단계 인증) 수준에서 보호는 전례 없는 수준이어야 합니다.

위험 신호 #2

우리는 하나의 특성에 대해 말하는 것이 아니라 공급업체 및 해당 정책과 관련된 특성 그룹에 대해 이야기하고 있습니다. 우리와 우리 직원들이 겪었던 몇 가지 중요한 사례를 나열해 보겠습니다.

• 공급업체는 클라이언트의 DBMS가 "회전"할 신뢰도가 부족한 데이터 센터를 선택할 수 있습니다. 그는 비용을 절약하고 SLA를 제어하지 않으며 부하를 계산하지 않으며 결과는 치명적일 것입니다.
• 공급업체는 귀하가 선택한 데이터 센터로 서비스를 이전하는 권리를 거부할 수 있습니다. 이는 SaaS의 매우 일반적인 제한 사항입니다.
• 공급업체는 클라우드 제공업체와 법적 또는 경제적 갈등을 겪을 수 있으며, "대결" 중에 백업 작업 또는 속도가 제한될 수 있습니다.
• 백업 생성 서비스는 추가 비용으로 제공될 수 있습니다. CRM 시스템의 클라이언트는 백업이 필요한 순간, 즉 가장 중요하고 취약한 순간에만 배울 수 있는 일반적인 관행입니다.
• 공급업체 직원은 고객 데이터에 아무런 방해 없이 접근할 수 있습니다.
• 어떤 성격의 데이터 유출도 발생할 수 있습니다(인적 오류, 사기, 해커 등).

일반적으로 이러한 문제는 소규모 또는 젊은 공급업체와 관련이 있지만 대규모 공급업체에서는 반복적으로 문제가 발생했습니다(google it). 그러므로 항상 자신의 정보를 보호할 수 있는 방법을 마련하고 선택한 CRM 시스템 제공업체와 보안 문제를 사전에 논의해야 합니다. 문제에 대한 관심이 있다는 사실조차도 공급 업체가 구현을 가능한 한 책임감있게 처리하도록 강요하게 될 것입니다. (공급 업체의 사무실이 아니라 파트너와 거래하는 경우 특히 중요합니다. 계약을 체결하고 커미션을 받는 것이 중요하며 이러한 두 가지 요소가 아닙니다... 잘 이해하셨나요).

위험 신호 #3

회사의 보안 업무 조직. XNUMX년 전 우리는 전통적으로 Habré의 보안에 관해 글을 쓰고 설문조사를 실시했습니다. 샘플은 그다지 크지 않았지만 답변은 다음과 같습니다.

기사 끝 부분에서는 "회사-직원-보안" 시스템의 관계를 자세히 조사한 출판물에 대한 링크를 제공하고 여기서는 답변을 찾을 수 있는 질문 목록을 제공합니다. (CRM이 필요하지 않은 경우에도)

• 직원들은 비밀번호를 어디에 저장하나요?
• 회사 서버의 스토리지에 대한 액세스는 어떻게 구성되어 있나요?
• 상업 및 운영 정보가 포함된 소프트웨어는 어떻게 보호되나요?
• 모든 직원이 바이러스 백신 소프트웨어를 활성화하고 있습니까?
• 고객 데이터에 액세스할 수 있는 직원 수는 몇 명이며, 액세스 수준은 어느 정도입니까?
• 신규 채용자는 몇 명이며, 퇴사 예정인 직원은 몇 명입니까?
• 핵심 직원들과 얼마나 오랫동안 소통하고 그들의 요구사항과 불만사항을 경청했습니까?
• 프린터가 모니터링됩니까?
• 자신의 가젯을 PC에 연결하고 업무용 Wi-Fi를 사용하는 정책은 어떻게 구성되어 있나요?

사실 이것들은 기본적인 질문들입니다. 아마 댓글에 하드코어가 추가될 것입니다. 그러나 이것은 기본이며, 직원이 XNUMX명인 개인 기업가라도 알아야 할 기본 사항입니다.

그렇다면 자신을 보호하는 방법은 무엇입니까?

• 백업은 종종 잊혀지거나 처리되지 않는 가장 중요한 것입니다. 데스크탑 시스템이 있는 경우 지정된 빈도로 데이터 백업 시스템을 설정하십시오(예를 들어 RegionSoft CRM의 경우 다음을 사용하여 수행할 수 있습니다). RegionSoft 애플리케이션 서버) 사본의 적절한 보관을 구성합니다. 클라우드 CRM이 있는 경우 계약을 체결하기 전에 백업 작업이 어떻게 구성되어 있는지 확인하십시오. 깊이 및 빈도, 저장 위치, 백업 비용에 대한 정보가 필요합니다(종종 해당 기간의 "최신 데이터만 백업"). ”는 무료이며, 본격적인 보안 백업 복사는 유료 서비스로 제공됩니다. 일반적으로 이곳은 저축이나 과실을 위한 장소가 아닙니다. 그리고 그렇습니다. 백업에서 무엇이 복원되었는지 확인하는 것을 잊지 마세요.
• 기능 및 데이터 수준에서 액세스 권한을 분리합니다.
• 네트워크 수준의 보안 - 사무실 서브넷 내에서만 CRM 사용을 허용하고, 모바일 장치에 대한 액세스를 제한하고, 집에서 CRM 시스템 작업을 금지해야 하며, 더 나쁘게는 공용 네트워크(공동 작업 공간, 카페, 고객 사무실)에서 CRM 시스템을 사용하는 것을 금지해야 합니다. , 등.). 모바일 버전에 특히 주의하세요. 업무용으로 크게 잘린 버전으로만 사용하세요.
• 실시간 검색 기능이 있는 바이러스 백신은 어떤 경우에도 필요하지만 특히 기업 데이터 보안의 경우에는 더욱 그렇습니다. 정책 수준에서 직접 비활성화하는 것을 금지하십시오.
• 사이버 위생에 대한 직원 교육은 시간 낭비가 아니라 시급한 요구 사항입니다. 경고하는 것뿐만 아니라받은 위협에 올바르게 대응하는 것도 중요하다는 점을 모든 동료에게 전달할 필요가 있습니다. 사무실에서 인터넷이나 이메일 사용을 금지하는 것은 과거의 일이며 심각한 부정의 원인이므로 예방에 노력해야 합니다.

물론, 클라우드 시스템을 사용하면 충분한 수준의 보안을 달성할 수 있습니다. 전용 서버 사용, 애플리케이션 수준과 데이터베이스 수준에서 라우터 및 트래픽 분리 구성, 프라이빗 서브넷 사용, 관리자를 위한 엄격한 보안 규칙 도입, 백업을 통한 중단 없는 운영 보장 필요한 최대 빈도와 완전성을 통해 XNUMX시간 내내 네트워크를 모니터링합니다... 생각해 보면 그다지 어렵지는 않지만 오히려 비용이 많이 듭니다. 그러나 실습에서 알 수 있듯이 대부분 대기업인 일부 회사만이 그러한 조치를 취합니다. 그러므로 우리는 주저하지 않고 다시 한 번 강조합니다: 클라우드와 데스크탑 모두 독립적으로 존재해서는 안 되며, 데이터를 보호해야 합니다.

CRM 시스템 구현의 모든 경우에 대한 몇 가지 작지만 중요한 팁

• 공급업체의 취약점을 확인하세요. "공급업체 이름 취약성", "공급업체 이름 해킹됨", "공급업체 이름 데이터 유출"이라는 단어 조합을 사용하여 정보를 찾으세요. 이것이 새로운 CRM 시스템을 검색할 때 유일한 매개변수가 되어서는 안 되지만, 피질하 부분을 체크하는 것만으로도 충분하며, 발생한 사건의 원인을 이해하는 것이 특히 중요합니다.
• 공급업체에 데이터 센터에 대해 문의하십시오. 가용성, 개수, 장애 조치 구성 방법.
• CRM에 보안 토큰을 설정하고 시스템 내 활동과 비정상적인 급증을 모니터링하세요.
• 비핵심 직원, 즉 정규 활동에 이러한 기능이 필요하지 않은 직원에 대한 보고서 내보내기 및 API를 통한 액세스를 비활성화합니다.
• CRM 시스템이 프로세스를 기록하고 사용자 작업을 기록하도록 구성되어 있는지 확인하세요.

이것들은 사소한 것이지만 전체적인 그림을 완벽하게 보완합니다. 그리고 사실 작은 것들도 안전하지 않습니다.

CRM 시스템을 구현하면 데이터 보안이 보장됩니다. 하지만 구현이 적절하게 수행되고 정보 보안 문제가 백그라운드로 밀려나지 않는 경우에만 가능합니다. 자동차를 구입하고 브레이크, ABS, 에어백, 안전 벨트, EDS를 확인하지 않는 것은 어리석은 일입니다. 결국 가장 중요한 것은 그냥 가는 것이 아니라 안전하게 가고 안전하게 도착하는 것입니다. 사업도 마찬가지다.

그리고 기억하세요: 산업 안전 규칙이 피로 쓰여졌다면 비즈니스 사이버 보안 규칙은 돈으로 쓰여졌습니다.

사이버 보안 주제와 CRM 시스템의 위치에 대한 자세한 기사를 읽을 수 있습니다.

• 기본 비즈니스 본능: 기업 보안의 가장자리 — 기업 영역에서 발생할 수 있는 보안 위협에 대한 개요와 대략적인 탐지 체계입니다.
• 직원의 데이터를 보호해야 합니까? — 직원이 귀하의 비즈니스에 어떻게 해를 끼칠 수 있는지, 그리고 상업적 영역에서 이를 수행하는 방법에 대한 자세한 분석입니다.

CRM 시스템을 찾고 있다면 RegionSoft CRM 31월 15일까지 XNUMX% 할인. CRM이나 ERP가 필요한 경우 당사 제품을 주의 깊게 연구하고 해당 기능을 귀하의 목표 및 목적과 비교하십시오. 질문이나 어려움이 있는 경우, 서면이나 전화를 통해 평가나 종소리 없이 개별 온라인 프레젠테이션을 구성해 드립니다.

Telegram의 우리 채널, 광고 없이 CRM 및 비즈니스에 대해 완전히 공식적인 내용을 작성하지 않습니다.

출처 : habr.com