31 marca to międzynarodowy dzień tworzenia kopii zapasowych, a tydzień poprzedzający go zawsze jest pełen opowieści związanych z bezpieczeństwem. W poniedziałek dowiedzieliśmy się już o skompromitowanym AsUsie i "trzech nieujawnionych producentach". Firmy szczególnie przesądne przez cały tydzień siedzą na krawędzi, tworząc kopie zapasowe. A to dlatego, że wszyscy jesteśmy trochę lekkomyślni, jeśli chodzi o bezpieczeństwo: niektórzy zapominają zapiąć pasy bezpieczeństwa na tylnych siedzeniach, inni ignorują daty ważności produktów, niektórzy przechowują login i hasło pod klawiaturą, a najlepiej zapisują wszystkie hasła w notatniku. Niektórzy potrafią wręcz wyłączyć oprogramowanie antywirusowe, "żeby komputer nie był spowolniony" i nie stosują podziału uprawnień w systemach korporacyjnych (jakie tajemnice w firmie liczącej 50 osób!). Prawdopodobnie ludzkość po prostu jeszcze nie wykształciła instynktu cyberbezpieczeństwa, który mógłby stać się nowym podstawowym instynktem.
Biznes również nie wykształcił takich instynktów. Proste pytanie: Czy system CRM stanowi zagrożenie dla bezpieczeństwa informacji, czy jest narzędziem do zapewnienia bezpieczeństwa? Mało kto na to pytanie odpowie w sposób jednoznaczny. Trzeba zacząć, jak nas uczono na lekcjach angielskiego: it depends… To zależy od ustawień, formy dostawy CRM, nawyków i przekonań dostawcy, stopnia lekceważenia ze strony pracowników oraz przebiegłości przestępców. W końcu można wszystko złamać. Jak więc żyć?
Tak wygląda bezpieczeństwo informacji w małych i średnich przedsiębiorstwach.
System CRM jako zabezpieczenie
Ochrona danych o działalności handlowej i operacyjnej oraz bezpieczne przechowywanie bazy klientów to jedno z głównych zadań systemów CRM, a w tym zakresie jest ona o wiele ważniejsza od wszelkiego innego oprogramowania aplikacyjnego w firmie.
Z pewnością zaczęliście czytać ten artykuł i w głębi duszy uśmiechnęliście się, sądząc, że komu właściwie potrzebne są wasze informacje. Jeśli tak, prawdopodobnie nie mieliście do czynienia ze sprzedażą i nie wiecie, jak bardzo poszukiwane są "żywe" i wartościowe bazy klientów oraz informacje o metodach pracy z taką bazą. Zawartość systemu CRM interesuje nie tylko kierownictwo firmy, ale także:
- Prestępców (rzadziej) — mają oni cel związany dokładnie z waszą firmą i użyją wszelkich zasobów, aby zdobyć dane: przekupstwo pracowników, włamania, zakup waszych danych od menedżerów, rozmowy z menedżerami i tym podobne.
- Pracownicy (częściej), którzy mogą pełnić rolę insiderów dla Twojej konkurencji. Są gotowi zabrać ze sobą lub sprzedać bazę klientów w celu własnego zysku.
- Hackerzy-amatorzy (bardzo rzadko) — możesz paść ofiarą włamania do chmury, gdzie przechowywane są Twoje dane, albo ktoś dla zabawy może chcieć 'wyciągnąć' Twoje dane (na przykład dane hurtowników farmaceutyków lub alkoholu — po prostu dla przyjemności).
Jeśli ktoś dostanie się do Twojego CRM, uzyska dostęp do Twojej działalności operacyjnej, a więc do zbioru danych, na podstawie którego generujesz większość zysku. I od momentu uzyskania złośliwego dostępu do systemu CRM zyski zaczynają trafiać do tego, w czyich rękach znalazła się baza klientów. Albo do jego partnerów i klientów (czytaj — nowych pracodawców).
Dobre, niezawodne potrafi zminimalizować te ryzyka i dać jeszcze wiele przyjemnych bonusów w dziedzinie bezpieczeństwa.
Co więc potrafi system CRM w zakresie bezpieczeństwa?
(przykład na podstawie, ponieważ nie możemy odpowiadać za innych)
- Wieloskładnikowa autoryzacja z użyciem klucza USB i hasła. wsparcie dla trybu wieloskładnikowej autoryzacji użytkowników przy logowaniu do systemu. W tym przypadku, oprócz wpisania hasła, konieczne jest włożenie do portu USB komputera klucza USB, który został wcześniej zainicjowany. Tryb wieloskładnikowy pomaga zabezpieczyć się przed kradzieżą lub ujawnieniem hasła.
Klikalne
- Uruchomienie z zaufanych adresów IP i adresów MAC. Aby zapewnić wyższe bezpieczeństwo, można ograniczyć dostęp użytkowników jedynie do zarejestrowanych adresów IP i adresów MAC. Adresy IP mogą być zarówno wewnętrznymi adresami IP w sieci lokalnej, jak i zewnętrznymi adresami, gdy użytkownik łączy się zdalnie (przez internet).
- Autoryzacja domenowa (autoryzacja Windows). Można skonfigurować uruchamianie systemu w taki sposób, aby przy logowaniu nie było potrzeby wpisywania hasła użytkownika. W takim przypadku następuje autoryzacja Windows, która identyfikuje użytkownika za pomocą WinAPI. System zostanie uruchomiony pod tym użytkownikiem, którego profil jest aktywny w momencie uruchamiania systemu.
- Kolejny mechanizm to klienci prywatniKlienci prywatni to klienci, którzy są widoczni tylko dla swojego kuratora. Na listach innych użytkowników ci klienci nie będą się pojawiać, nawet jeśli inni użytkownicy mają pełen zestaw uprawnień, w tym prawa administratora. Dzięki temu można chronić, na przykład, pulę wyjątkowo ważnych klientów lub grupę według innego kryterium, która została powierzona zaufanemu menedżerowi.
- Mechanizm rozdzielania praw dostępu to standardowa i priorytetowa miara ochrony w CRM. Aby uprościć proces administrowania prawami użytkowników, uprawnienia są przypisywane nie konkretnym użytkownikom, ale szablonom. A sami użytkownicy otrzymują dany szablon, który ma określony zestaw praw. To pozwala wszystkim pracownikom — od nowicjuszy i stażystów po dyrektora — przypisać uprawnienia i prawa dostępu, które pozwolą lub nie pozwolą im uzyskać dostęp do danych poufnych i ważnych informacji handlowych.
- System automatycznego tworzenia kopii zapasowych danych (backupów), konfigurowany za pomocą serwera skryptów .
To implementacja bezpieczeństwa na przykładzie jedynego systemu, gdzie każdy dostawca ma swoje polityki. Jednak system CRM rzeczywiście chroni Twoje informacje: możesz zobaczyć, kto i o której godzinie pobrał dany raport, kto przeglądał jakie dane, kto dokonywał eksportu i wiele więcej. Nawet jeśli dowiesz się o podatnościach po fakcie, nie pozostawisz czynu bezkarnego i łatwo zidentyfikujesz pracownika, który nadużył zaufania i lojalności firmy.
Zrelaksowałeś się? Jeszcze nie! Ta ochrona w przypadku lekkomyślnego podejścia i ignorowania problemów z bezpieczeństwem danych może zadziałać przeciwko Tobie.
System CRM jako zagrożenie
Jeśli w Twojej firmie jest przynajmniej jeden komputer, już to stanowi źródło zagrożeń cybernetycznych. W związku z tym, stopień zagrożenia rośnie wraz z liczbą stacji roboczych (i pracowników) oraz różnorodnością zainstalowanego i używanego oprogramowania. A kwestia systemów CRM również nie jest prosta — to program, który ma za zadanie przechowywać i przetwarzać najważniejszy i najdroższy zasób: bazę klientów oraz informacje handlowe, a my opowiadamy tu przerażające historie o jego bezpieczeństwie. W rzeczywistości nie jest tak źle, a przy odpowiednim użytkowaniu CRM daje tylko korzyści i bezpieczeństwo.
Jakie są oznaki niebezpiecznego systemu CRM?
Zacznijmy od krótkiego wprowadzenia do podstaw. Systemy CRM dzielą się na chmurowe i stacjonarne. Chmurowe to te, których Baza Danych (DB) znajduje się nie w Twojej firmie, ale w prywatnej lub publicznej chmurze w jakimś centrum danych (na przykład siedzisz w Czelabińsku, a Twoja baza działa w supernowoczesnym centrum danych w Moskwie, ponieważ tak zdecydował dostawca CRM i ma umowę właśnie z tym dostawcą). Stacjonarne (inaczej on-premise, serwerowe — co już nie jest takie prawdziwe) opierają swoją Bazę Danych na Twoich własnych serwerach (nie, nie wyobrażaj sobie ogromnej serwerowni z drogimi szafkami, najczęściej w małych i średnich przedsiębiorstwach to pojedynczy serwer lub nawet zwykły komputer o nowoczesnej konfiguracji), co oznacza, że fizycznie znajduje się w Twoim biurze.
Dostęp nieautoryzowany możliwy jest do obu typów CRM, ale prędkość i łatwość dostępu są różne, szczególnie jeśli mówimy o MŚP, które nie są zbytnio zainteresowane bezpieczeństwem informacji.
Oznaka niebezpieczeństwa nr 1
Przyczyny wyższej prawdopodobieństwa problemów z danymi w systemie chmurowym to relacje związane z kilkoma ogniwami: Ty (najemca CRM) — dostawca — operator (może wystąpić dłuższa wersja: Ty — dostawca — outsourcer IT dostawcy — operator). 3-4 ogniwa relacji niosą więcej ryzyk niż 1-2: problem może wystąpić po stronie dostawcy (zmiana umowy, nieopłacenie usług operatora), po stronie operatora (siła wyższa, włamanie, problemy techniczne), po stronie outsourcera (zmiana menedżera lub inżyniera) itd. Oczywiście, duzi dostawcy starają się mieć zapasowe centra danych, zarządzać ryzykiem i posiadać własny dział DevOps, ale to również nie wyklucza problemów.
CRM stacjonarne zazwyczaj nie jest wynajmowane, lecz nabywane przez firmę, co sprawia, że relacje są bardziej proste i przejrzyste: dostawca podczas wdrażania CRM konfiguruje niezbędne poziomy bezpieczeństwa (od ograniczenia dostępu i fizycznego klucza USB, po umieszczenie serwera w betonowej ścianie itd.) i przekazuje kontrolę właścicielowi CRM, który może zwiększać ochronę, zatrudnić administratora systemu lub zwracać się do swojego dostawcy oprogramowania w razie potrzeby. Problemy ograniczają się do pracy z pracownikami, ochrony sieci i fizycznej ochrony informacji. W przypadku korzystania z CRM stacjonarnego nawet całkowite odłączenie internetu nie zatrzyma pracy, ponieważ baza znajduje się w „rodzinnym” biurze.
O technologiach chmurowych opowiada jeden z naszych pracowników, który pracował w firmie zajmującej się tworzeniem zintegrowanych systemów biurowych w chmurze, w tym CRM. „W jednym z moich miejsc pracy firma tworzyła coś bardzo podobnego do podstawowego CRM, a wszystko to było związane z dokumentami online itd. Pewnego dnia w GA zauważyliśmy nietypową aktywność ze strony jednego z klientów subskrybentów. Jakże byliśmy zdziwieni, analitycy, gdy, nie będąc programistami, ale mając wysoki poziom dostępu, po prostu mogliśmy otworzyć ten interfejs, który używał klient, i zobaczyć, co to za popularna tabelka. Swoją drogą, wydaje się, że klient nie chciałby, aby ktoś widział te dane handlowe. Tak, to był błąd, i nie był naprawiany przez kilka lat – według mnie sytuacja wciąż się nie zmieniła. Od tego czasu jestem zwolennikiem stacjonarnych rozwiązań i nie do końca ufam chmurom, chociaż oczywiście używamy ich w pracy i życiu osobistym, gdzie też zdarzały się zabawne wpadki.”
Z naszej ankiety na Habra, a to pracownicy zaawansowanych firm.
Utrata danych z chmurowego systemu CRM może być spowodowana utratą danych z powodu awarii serwera, niedostępności serwerów, siły wyższej, zaprzestania działalności dostawcy itd. Chmura to stały, nieprzerwany dostęp do internetu, a ochrona musi być bezprecedensowa: na poziomie kodu, praw dostępu, dodatkowych środków cyberbezpieczeństwa (np. uwierzytelnienia dwuetapowego).
Przykład zagrożenia nr 2
Mówimy tu nie o jednym, ale o grupie wskaźników związanych z dostawcą i jego polityką. Wymieńmy kilka ważnych przykładów, z którymi spotkaliśmy się my i nasi pracownicy.
- Dostawca może wybrać niezbyt solidne centrum danych, gdzie będą „krążyć” bazy danych klientów. Zaoszczędzi na kontrolowaniu SLA, nie obliczy obciążenia, a wynik będzie tragiczny właśnie dla ciebie.
- Dostawca może odmówić prawa do przeniesienia usługi do wybranego przez ciebie centrum danych. To dość powszechne ograniczenie dla SaaS.
- Dostawca może mieć konflikt prawny lub gospodarczy z dostawcą chmury, a wtedy podczas „rozmów” działania związane z tworzeniem kopii zapasowych lub, na przykład, prędkość mogą być ograniczone.
- Usługa tworzenia kopii zapasowych może być oferowana za osobną opłatą. To powszechna praktyka, o której klient systemu CRM może dowiedzieć się dopiero w momencie, gdy kopia zapasowa jest potrzebna, czyli w najbardziej krytycznym i wrażliwym momencie.
- Pracownicy dostawcy mogą mieć swobodny dostęp do danych klientów.
- Mogą wystąpić wycieki danych różnego rodzaju (czynnik ludzki, oszustwa, hakerzy itd.).
Zwykle problemy te są związane z małymi lub młodymi dostawcami, jednak i więksi wielokrotnie wpadają w nieprzyjemne sytuacje (google it). Dlatego zawsze powinieneś mieć sposoby ochrony informacji po swojej stronie + wcześniejsze omówienie z wybranym dostawcą systemu CRM kwestii bezpieczeństwa. Sam fakt twojego zainteresowania problemem już zmusi dostawcę do maksymalnej odpowiedzialności podczas wdrażania (szczególnie ważne w przypadku, gdy masz do czynienia nie z biurem dostawcy, a z jego partnerem, dla którego ważne jest podpisanie umowy i uzyskanie prowizji, a nie twoje dwuetapowe… no wiesz, o co chodzi).
Wskaźnik zagrożenia nr 3
Organizacja pracy z bezpieczeństwem w twojej firmie. Rok temu tradycyjnie pisaliśmy o bezpieczeństwie na Habrze i przeprowadziliśmy ankietę. Próba nie była zbyt duża, ale odpowiedzi były wymowne:
Na końcu artykułu podamy linki do naszych publikacji, w których szczegółowo analizowaliśmy relacje w systemie „firma — pracownik — bezpieczeństwo”, a tutaj przedstawimy listę pytań, na które warto znaleźć odpowiedzi w swojej firmie (nawet jeśli nie potrzebujesz CRM).
- Gdzie pracownicy przechowują hasła?
- Jak zorganizowany jest dostęp do magazynów na serwerach firmy?
- W jaki sposób chronione jest oprogramowanie zawierające informacje handlowe i operacyjne?
- Czy wszyscy pracownicy mają aktywne programy antywirusowe?
- Ile pracowników ma dostęp do danych klientów i na jakim poziomie ten dostęp?
- Ile masz nowicjuszy i ile pracowników jest w trakcie zwolnienia?
- Kiedy ostatnio rozmawiałeś z kluczowymi pracownikami i wysłuchałeś ich próśb i skarg?
- Czy drukarki są kontrolowane?
- Jak zorganizowana jest polityka podłączania własnych urządzeń do komputerów oraz korzystania z firmowego Wi-Fi?
W rzeczywistości, to podstawowe pytania — w komentarzach na pewno dodadzą więcej szczegółów, ale to fundament, którego powinien znać nawet przedsiębiorca indywidualny z dwoma pracownikami.
Jak się bronić?
- Kopie zapasowe — to najważniejsza kwestia, o której często zapomina się lub nie dba o nią. Jeśli masz system stacjonarny, skonfiguruj system tworzenia kopii zapasowych danych z określoną częstotliwością (na przykład w RegionSoft CRM można to zrealizować za pomocą ) i zorganizuj odpowiednie przechowywanie kopii. Jeśli masz chmurową CRM, przed podpisaniem umowy upewnij się, jak zorganizowana jest praca z kopiami zapasowymi: potrzebne są informacje o głębokości i częstotliwości, miejscu przechowywania oraz kosztach tworzenia kopii zapasowych (często darmowe są tylko kopie „ostatnich danych z okresu”, a pełne, bezpieczne tworzenie kopii zapasowych jest świadczone jako płatna usługa). Generalnie, tutaj na pewno nie ma miejsca na oszczędności lub niedbałość. I tak, nie zapomnij sprawdzić, co można odzyskać z kopii zapasowych.
- Podział praw dostępu na poziomie funkcji i danych.
- Bezpieczeństwo na poziomie sieci — należy zezwolić na korzystanie z CRM tylko wewnątrz biurowej podsieci, ograniczyć dostęp dla urządzeń mobilnych, zakazać pracy z systemem CRM z domu lub, co gorsza, z sieci publicznych (kawiarni, coworkingów, biur klientów itp.). Szczególnie bądź ostrożny z wersją mobilną — niech to będzie jedynie mocno okrojona wersja do pracy.
- Antywirus ze skanowaniem w czasie rzeczywistym jest potrzebny w każdym przypadku, ale w przypadku bezpieczeństwa danych firmowych — szczególnie. Zabroń na poziomie polityk samodzielnego wyłączania go.
- Szkolenie pracowników w zakresie cyberhigieny to nie tylko niepotrzebny koszt, ale również pilna potrzeba. Należy uświadomić wszystkim kolegom, że ważne jest nie tylko zapobieganie, ale także właściwe reagowanie na pojawiające się zagrożenia. Zakazywanie korzystania z Internetu lub osobistej poczty w biurze to przestarzałe podejście, które wywołuje negatywne emocje, dlatego trzeba skupić się na profilaktyce.
Oczywiście, korzystanie z systemu chmurowego może zapewnić wystarczający poziom bezpieczeństwa: należy stosować dedykowane serwery, konfigurować routery oraz segregować ruch na poziomie aplikacji i baz danych, korzystać z prywatnych podsieci, wprowadzać rygorystyczne zasady bezpieczeństwa dla administratorów, zapewniać ciągłość działania poprzez tworzenie kopii zapasowych z maksymalną częstotliwością i pełnością, a także monitorować sieć 24 godziny na dobę… Jeśli się nad tym zastanowić, to nie jest to takie trudne — raczej kosztowne. Jednak jak pokazuje praktyka, takie działania podejmują tylko nieliczne firmy, głównie dużych rozmiarów. Dlatego nie wstydźmy się powtórzyć: zarówno chmura, jak i desktop nie powinny funkcjonować samodzielnie, chroń swoje dane.
Kilka drobnych, ale ważnych wskazówek dotyczących wdrożenia systemu CRM.
- Sprawdź dostawcę pod kątem podatności — poszukaj informacji według fraz „podatność Nazwa Dostawcy”, „złamano Nazwę Dostawcy”, „wyciek danych Nazwy Dostawcy”. To nie powinno być jedynym kryterium wyboru nowego systemu CRM, ale zdecydowanie warto to zanotować, a zwłaszcza zrozumieć przyczyny wystąpienia incydentów.
- Zapytaj dostawcę o centrum przetwarzania danych: dostępność, ile ich jest, jak zorganizowane jest przełączanie awaryjne.
- Skonfiguruj wskaźniki bezpieczeństwa w systemie CRM, śledź aktywność wewnątrz systemu oraz nietypowe wzrosty.
- Wyłącz eksport raportów oraz dostęp przez API dla pracowników nieprofesjonalnych — czyli tych, którzy nie potrzebują tych funkcji do codziennej działalności.
- Upewnij się, że w Twoim systemie CRM jest skonfigurowane rejestrowanie procesów i logowanie działań użytkowników.
To szczegóły, ale doskonale uzupełniają całość. A tak naprawdę, w bezpieczeństwie nie ma drobnostek.
Wdrażając system CRM, zapewniasz bezpieczeństwo swoich danych — ale tylko wtedy, gdy wdrożenie odbywa się prawidłowo, a kwestie bezpieczeństwa informacji nie są odkładane na drugi plan. Zgódź się, że to głupota kupić samochód i nie sprawdzić hamulców, ABS, obecności poduszek, pasów bezpieczeństwa, EDS. Najważniejsze jest nie tylko podróżować, ale robić to bezpiecznie i dotrzeć w jednym kawałku. To samo dotyczy biznesu.
I pamiętaj: jeśli zasady bezpieczeństwa pracy zapisane były krwią, zasady cyberbezpieczeństwa w biznesie zapisane są pieniędzmi.
Na temat cyberbezpieczeństwa i miejsca systemów CRM w nim można poczytać nasze szczegółowe artykuły:
- — przegląd możliwych zagrożeń bezpieczeństwa w sferze korporacyjnej oraz przykładowy schemat wykrywania.
- — szczegółowa analiza tego, w jaki sposób pracownicy mogą zaszkodzić Twojej firmie i w jaki sposób to robią w sferze komercyjnej.
Jeśli szukasz systemu CRM, to na . Jeśli potrzebujesz CRM lub ERP — dokładnie zapoznaj się z naszymi produktami i porównaj ich możliwości z własnymi celami i zadaniami. Jeśli masz pytania lub wątpliwości — pisz, dzwoń, zorganizujemy dla Ciebie indywidualną prezentację online — bez rankingów i bez pomiarów.
, na którym bez reklam piszemy mniej formalne rzeczy o CRM i biznesie.
Źródło: habr.com
