ЦРМ системи из перспективе сајбер безбедности: заштита или претња?

31. март је Међународни дан резервних копија, а претходна недеља је увек пуна прича о безбедности. У понедељак смо већ сазнали за компромитовани Асус и „три неименована произвођача“. Посебно сујеверне компаније седе на иглама целе недеље, правећи резервне копије. А све зато што смо сви помало немарни у погледу безбедности: неко заборавља да веже појас на задњем седишту, неко игнорише рок трајања производа, неко своје корисничко име и лозинку чува испод тастатуре, а још боље, записује све лозинке у бележници. Неки појединци успевају да онемогуће антивирусе „како не би успорили рачунар” и да не користе раздвајање права приступа у корпоративним системима (какве тајне у компанији од 50 људи!). Вероватно, човечанство једноставно још није развило инстинкт сајбер-самоодржања, који, у принципу, може постати нови основни инстинкт.

Ни бизнис није развио такве инстинкте. Једноставно питање: да ли је ЦРМ систем претња безбедности информација или безбедносни алат? Мало је вероватно да ће неко одмах дати тачан одговор. Овде треба да почнемо, како су нас учили на часовима енглеског: зависи... Зависи од подешавања, облика ЦРМ испоруке, навика и уверења продавца, степена занемаривања запослених, софистицираности нападача. . На крају крајева, све се може хаковати. Па како живети?

Ово је безбедност информација у малим и средњим предузећима Из ЛивеЈоурнал-а

ЦРМ систем као заштита

Заштита комерцијалних и оперативних података и безбедно складиштење ваше базе клијената један је од главних задатака ЦРМ система, а у томе је он изнад свих осталих апликативних софтвера у компанији.

Сигурно сте почели да читате овај чланак и нацерили се дубоко у себи говорећи, коме су потребне ваше информације. Ако јесте, онда се вероватно нисте бавили продајом и не знате колико су тражене „живе“ и квалитетне базе купаца и информације о начинима рада са овом базом. Садржај ЦРМ система занимљив је не само менаџменту компаније, већ и:  

• Нападачи (ређе) – имају циљ који се односи на вашу компанију и користиће све ресурсе за добијање података: подмићивање запослених, хаковање, куповину ваших података од менаџера, интервјуе са менаџерима итд.
• Запослени (чешће) који могу да делују као инсајдери за ваше конкуренте. Они су једноставно спремни да одузму или продају своју базу клијената за сопствени профит.
• За хакере аматере (веома ретко) – можда ћете бити хаковани у облак где се налазе ваши подаци или је мрежа хакована, или можда неко жели да „извуче“ ваше податке из забаве (на пример, податке о велетрговцима фармацеутских производа или алкохола – само је занимљиво видети).

Ако неко уђе у ваш ЦРМ, имаће приступ вашим оперативним активностима, односно обиму података са којима остварујете већину свог профита. А од тренутка када се добије злонамерни приступ ЦРМ систему, профит почиње да се смеши ономе у чијим рукама заврши база клијената. Па, или његови партнери и купци (читај - нови послодавци).

Добро, поуздано ЦРМ систем је у стању да покрије ове ризике и обезбеди гомилу пријатних бонуса у области безбедности.

Дакле, шта ЦРМ систем може да уради у смислу безбедности?

(Рећи ћемо вам на примеру РегионСофт ЦРМ, јер Не можемо бити одговорни за друге)

• Двофакторска аутентификација помоћу УСБ кључа и лозинке. РегионСофт ЦРМ подржава двофакторски режим ауторизације корисника приликом пријављивања на систем. У овом случају, приликом пријављивања на систем, поред уноса лозинке, морате да убаците УСБ кључ који је унапред иницијализован у УСБ порт рачунара. Двофакторски режим ауторизације помаже у заштити од крађе или откривања лозинке.

Може се кликнути

• Покрени са поузданих ИП адреса и МАЦ адреса. Ради побољшане безбедности, можете ограничити кориснике да се пријављују само са регистрованих ИП адреса и МАЦ адреса. И интерне ИП адресе на локалној мрежи и екстерне адресе могу се користити као ИП адресе ако се корисник повезује на даљину (преко Интернета).
• Ауторизација домена (Виндовс ауторизација). Покретање система се може конфигурисати тако да корисничка лозинка није потребна приликом пријављивања. У овом случају долази до Виндовс ауторизације, која идентификује корисника користећи ВинАПИ. Систем ће бити покренут под корисником под чијим профилом рачунар ради у тренутку покретања система.
• Други механизам је приватни клијенти. Приватни клијенти су клијенти које може да види само њихов супервизор. Ови клијенти се неће појавити на листама других корисника, чак и ако други корисници имају пуне дозволе, укључујући администраторска права. На тај начин можете заштитити, на пример, скуп посебно важних клијената или групу из неког другог разлога, која ће бити поверена поузданом менаџеру.
• Механизам за поделу права приступа — стандардна и примарна мера безбедности у ЦРМ-у. Да би се поједноставио процес администрирања корисничких права, у РегионСофт ЦРМ права се не додељују одређеним корисницима, већ шаблонима. И самом кориснику се додељује један или други шаблон, који има одређени скуп права. Ово омогућава сваком запосленом – од новозапослених преко приправника до директора – да додели дозволе и права приступа која ће им омогућити/спречити приступ осетљивим подацима и осетљивим пословним информацијама.
• Аутоматски систем за прављење резервних копија података (резервне копије)конфигурисати преко скрипт сервера РегионСофт Апплицатион Сервер.

Ово је имплементација безбедности користећи један систем као пример, сваки добављач има своје политике. Међутим, ЦРМ систем заиста штити ваше податке: можете видети ко је узео овај или онај извештај и у које време, ко је прегледао које податке, ко га је преузео и још много тога. Чак и ако сазнате за рањивост накнадно, нећете оставити чин некажњено и лако ћете идентификовати запосленог који је злоупотребио поверење и лојалност компаније.

Јесте ли опуштени? Рано! Управо ова заштита може радити против вас ако сте непажљиви и игноришете проблеме заштите података.

ЦРМ систем као претња

Ако ваша компанија има бар један рачунар, ово је већ извор сајбер претње. Сходно томе, ниво претње расте са бројем радних станица (и запослених) и са разноврсношћу инсталираног и коришћеног софтвера. А ствари нису лаке са ЦРМ системима – на крају крајева, ово је програм дизајниран да складишти и обрађује најважнију и најскупљу имовину: базу купаца и комерцијалне информације, а ми овде причамо хорор приче о његовој безбедности. У ствари, није све тако суморно изблиза, и ако се са њим правилно поступа, нећете добити ништа осим користи и сигурности од ЦРМ система.

Који су знаци опасног ЦРМ система?

Почнимо са кратким излетом у основе. ЦРМ-ови долазе у верзијама за облак и десктоп. Облачни су они чији се ДБМС (база података) не налази у вашој компанији, већ у приватном или јавном облаку у неком дата центру (на пример, седите у Чељабинску, а ваша база података ради у супер кул дата центру у Москви , јер је тако одлучио продавац ЦРМ-а и он има уговор са овим одређеним провајдером). Десктоп (ака он-премисе, сервер – што више није тако тачно) базирају своје ДБМС на вашим сопственим серверима (не, не, немојте замишљати огромну серверску собу са скупим регалима, најчешће у малим и средњим предузећима то је један сервер или чак обичан рачунар модерне конфигурације), односно физички у вашој канцеларији.

Могуће је добити неовлашћени приступ обема врстама ЦРМ-а, али брзина и лакоћа приступа су различите, посебно ако је реч о малим и средњим предузећима која не брину много о безбедности информација.

Знак опасности #1

Разлог за већу вероватноћу проблема са подацима у клауд систему је однос повезан са неколико веза: ви (ЦРМ закупац) – добављач – провајдер (постоји дужа верзија: ви – добављач – ИТ аутсорсер добављача – провајдер) . 3-4 везе у вези имају више ризика од 1-2: проблем може настати на страни добављача (промена уговора, неплаћање услуга провајдера), на страни провајдера (виша сила, хаковање, технички проблеми), на страни наручиоца (промена менаџера или инжењера) итд. Наравно, велики добављачи покушавају да имају резервне центре података, управљају ризицима и одржавају своје ДевОпс одељење, али то не искључује проблеме.

Десктоп ЦРМ се генерално не изнајмљује, већ купује од стране компаније; сходно томе, однос изгледа једноставније и транспарентније: током имплементације ЦРМ-а, продавац конфигурише неопходне нивое безбедности (од разликовања права приступа и физичког УСБ кључа до затварања сервер у бетонском зиду итд.) и преноси контролу на компанију која поседује ЦРМ, која може да повећа заштиту, ангажује систем администратора или по потреби контактира свог добављача софтвера. Проблеми се своде на рад са запосленима, заштиту мреже и физичку заштиту информација. Ако користите десктоп ЦРМ, чак ни потпуно гашење Интернета неће престати са радом, јер се база података налази у вашој „кућној” канцеларији.

Један од наших запослених, који је радио у компанији која је развила интегрисане канцеларијске системе засноване на облаку, укључујући ЦРМ, говори о цлоуд технологијама. „На једном од мојих послова, компанија је креирала нешто веома слично основном ЦРМ-у, а све је било повезано са онлајн документима и тако даље. Једног дана у ГА смо видели ненормалну активност једног од наших претплатника. Замислите изненађење нас, аналитичара, када смо ми, не као програмери, али имамо висок ниво приступа, једноставно могли да отворимо интерфејс који је клијент користио преко линка и да видимо какав популарни знак има. Иначе, изгледа да клијент не би желео да било ко види ове комерцијалне податке. Да, то је била грешка, и није исправљена неколико година - по мом мишљењу, ствари су и даље ту. Од тада сам ентузијаста за десктоп рачунаре и не верујем баш облацима, иако их, наравно, користимо на послу иу личном животу, где смо се такође забавили.“

Из наше анкете на Хабреу, а то су запослени у напредним компанијама

Губитак података из ЦРМ система у облаку може бити последица губитка података услед отказивања сервера, недоступности сервера, више силе, прекида активности добављача итд. Облак значи сталан, непрекидан приступ Интернету, а заштита мора бити без преседана: на нивоу кода, права приступа, додатних мера сајбер безбедности (на пример, двофакторска аутентификација).

Знак опасности #2

Не говоримо чак ни о једној карактеристици, већ о групи карактеристика везаних за продавца и његове политике. Наведимо неке важне примере са којима смо се ми и наши запослени сусрели.

• Продавац може изабрати недовољно поуздан центар података где ће се клијентов ДБМС „окренути“. Он ће уштедети новац, неће контролисати СЛА, неће израчунати оптерећење, а резултат ће бити фаталан за вас.
• Продавац може ускратити право на пренос услуге у дата центар по вашем избору. Ово је прилично уобичајено ограничење за СааС.
• Продавац може имати правни или економски сукоб са провајдером облака, а затим током „обрачуна“, радње резервних копија или, на пример, брзина могу бити ограничене.
• Услуга прављења резервних копија може се обезбедити уз додатну цену. Уобичајена пракса о којој клијент ЦРМ система може да сазна само у тренутку када је потребна резервна копија, односно у најкритичнијем и најрањивијем тренутку.
• Запослени у продавцу могу имати несметан приступ подацима о купцима.
• Може доћи до цурења података било које природе (људска грешка, превара, хакери, итд.).

Обично су ови проблеми повезани са малим или младим добављачима, међутим, велики су више пута упадали у невоље (гуглајте). Стога, увек треба да имате начине да заштитите информације на својој страни + унапред разговарајте о безбедносним питањима са изабраним добављачем ЦРМ система. Чак и сама чињеница да сте заинтересовани за проблем већ ће приморати добављача да се према имплементацији односи што је могуће одговорније (нарочито је важно да то урадите ако немате посла са канцеларијом продавца, већ са његовим партнером, за кога је то важно је да се закључи уговор и добије провизија, а не ови двофактори... па јеси ли разумео).

Знак опасности #3

Организација послова обезбеђења у Вашем предузећу. Пре годину дана традиционално смо писали о безбедности на Хабреу и спровели анкету. Узорак није био велики, али су одговори индикативни:

На крају чланка даћемо линкове до наших публикација, где смо детаљно испитали однос у систему „компанија-запослени-безбедност“, а овде ћемо дати списак питања на која одговоре треба пронаћи у оквиру ваша компанија (чак и ако вам није потребан ЦРМ).

• Где запослени чувају лозинке?
• Како је организован приступ складишту на серверима компаније?
• Како је заштићен софтвер који садржи комерцијалне и оперативне информације?
• Да ли сви запослени имају активан антивирусни софтвер?
• Колико запослених има приступ подацима о клијентима и који ниво приступа има овај?
• Колико новозапослених имате и колико запослених је у процесу одласка?
• Колико дуго сте комуницирали са кључним запосленима и слушали њихове захтеве и жалбе?
• Да ли се штампачи надгледају?
• Како је организована политика за повезивање сопствених гаџета са рачунаром, као и коришћење Ви-Фи мреже на послу?

У ствари, ово су основна питања — хардкор ће вероватно бити додат у коментарима, али ово су основе, чије основе треба да зна чак и појединачни предузетник са два запослена.

Па како се заштитити?

• Резервне копије су најважнија ствар о којој се често или заборавља или се не води рачуна. Ако имате десктоп систем, подесите систем резервних копија података са датом фреквенцијом (на пример, за РегионСофт ЦРМ то се може урадити помоћу РегионСофт Апплицатион Сервер) и организовати прописно чување примерака. Ако имате ЦРМ у облаку, обавезно пре склапања уговора сазнајте како је организован рад са резервним копијама: потребне су вам информације о дубини и учесталости, локацији складиштења, цени резервне копије (често само резервне копије „најнових података за период“). ” су бесплатни, а пуноправно, безбедно резервно копирање је обезбеђено као плаћена услуга). Генерално, ово дефинитивно није место за штедњу или немар. И да, не заборавите да проверите шта је враћено из резервних копија.
• Раздвајање права приступа на нивоу функције и података.
• Сигурност на нивоу мреже – потребно је да дозволите коришћење ЦРМ-а само у оквиру канцеларијске подмреже, ограничите приступ мобилним уређајима, забраните рад са ЦРМ системом од куће или, још горе, из јавних мрежа (цоворкинг простори, кафићи, клијентске канцеларије , итд.). Будите посебно опрезни са мобилном верзијом - нека то буде само увелико скраћена верзија за посао.
• Антивирус са скенирањем у реалном времену је потребан у сваком случају, а посебно у случају заштите корпоративних података. На нивоу политике, забраните да га сами онемогућите.
• Обука запослених о сајбер хигијени није губљење времена, већ хитна потреба. Неопходно је пренети свим колегама да им је важно не само да упозоре, већ и да правилно реагују на примљену претњу. Забрана коришћења интернета или ваше е-поште у канцеларији је прошлост и узрок акутне негативности, тако да ћете морати да радите на превенцији.

Наравно, користећи клауд систем, можете постићи довољан ниво безбедности: користити наменске сервере, конфигурисати рутере и одвојени саобраћај на нивоу апликације и базе података, користити приватне подмреже, увести строга безбедносна правила за администраторе, обезбедити несметан рад путем резервних копија. са максималном потребном фреквенцијом и комплетношћу, да надгледате мрежу XNUMX сата дневно... Ако размислите, није тако тешко, али прилично скупо. Али, као што пракса показује, само неке компаније, углавном велике, предузимају такве мере. Стога, не устручавамо се да поновимо: и облак и десктоп не би требало да живе сами; заштитите своје податке.

Неколико малих, али важних савета за све случајеве имплементације ЦРМ система

• Проверите да ли добављач има рањивости - потражите информације користећи комбинације речи „рањивост имена добављача“, „назив добављача хакован“, „цурење података о имену продавца“. Ово не би требало да буде једини параметар у потрази за новим ЦРМ системом, већ је једноставно потребно означити подкортекс, а посебно је важно разумети разлоге за инциденте који су се десили.
• Питајте продавца о дата центру: доступност, колико их има, како је организовано пребацивање на грешку.
• Подесите безбедносне токене у свом ЦРМ-у, пратите активности унутар система и необичне скокове.
• Онемогућите извоз извештаја и приступ преко АПИ-ја за неосновне запослене – односно оне којима ове функције нису потребне за њихове редовне активности.
• Уверите се да је ваш ЦРМ систем конфигурисан да евидентира процесе и радње корисника.

Ово су мале ствари, али савршено допуњују укупну слику. И, у ствари, ниједна ситница није сигурна.

Имплементацијом ЦРМ система обезбеђујете безбедност својих података – али само ако се имплементација спроведе компетентно, а питања безбедности информација нису потиснута у други план. Слажем се, глупо је купити ауто и не проверити кочнице, АБС, ваздушне јастуке, појасеве, ЕДС. На крају крајева, главна ствар није само ићи, већ ићи безбедно и стићи тамо здрав и здрав. Исто је и са послом.

И запамтите: ако су правила о заштити на раду написана крвљу, правила о сајбер-безбедности пословања су написана у новцу.

На тему сајбер безбедности и места ЦРМ система у њему, можете прочитати наше детаљне чланке:

• Основни пословни инстинкт: ивица корпоративне безбедности — преглед могућих безбедносних претњи у корпоративној сфери и приближна шема детекције.
• Да ли треба да заштитите податке од запослених? — детаљна анализа о томе како запослени могу да нашкоде вашем пословању и како то раде у комерцијалној сфери.

Ако тражите ЦРМ систем, онда РегионСофт ЦРМ до 31. марта, попуст од 15%.. Ако вам је потребан ЦРМ или ЕРП, пажљиво проучите наше производе и упоредите њихове могућности са својим циљевима и циљевима. Ако имате било каквих питања или потешкоћа, пишите или позовите, ми ћемо за вас организовати индивидуалну онлајн презентацију - без оцењивања и звона.

Наш канал у Телеграму, у којој, без реклама, пишемо не сасвим формалне ствари о ЦРМ-у и пословању.

Извор: ввв.хабр.цом