Ноябрь 15, 2017

Типовые информационные угрозы базам данных CRM-систем и методы защиты от них

Защитите
своих клиентов

от конкурентов

В наш век — век информации — самые страшные угрозы — это угрозы, касающиеся информации. Сегодня поговорим о том, какие существуют угрозы базам данных CRM-систем и как можно с ними бороться.

Часто в компаниях, предоставляющих услуги населению, самым уязвимым местом являются внедренные CRM-системы со всей клиентской базой данных. Как правило, это привлекает конкурирующие компании, которые не всегда ведут честную конкурентную борьбу.

Какие существуют основные угрозы информационной безопасности CRM-системы?

Угроза конфиденциальности – несанкционированный доступ к базам данных с мотивом их хищения.
Угроза целостности – несанкционированная модификация, дополнение или уничтожение данных.
Угроза доступности – ограничение или блокирование доступа к базам данных.

Виды источников угроз

Источники угроз могут быть внешними и внутренними. Внешние – несанкционированный доступ к информации со стороны заинтересованных организаций, компьютерные вирусы и другое вредоносное ПО.

К внутренним источникам угроз будут относиться: ошибки пользователей и сисадминов, ошибки в работе ПО, сбой в работе компьютерного оборудования, нарушение регламентов компании по работе с информацией.

Основные способы защиты информации

Давайте рассмотрим основные способы защиты информации, которые предполагают использование определённого набора средств, например, таких как:

Физические средства – решётки на окнах, прочные двери, надёжные замки/электронные ключи, строгий пропускной режим, противопожарная система.
Технические и аппаратные средства – сигнализации; блоки бесперебойного питания для корректного завершения работы при отключении электричества.
Организационные средства – правила работы, регламенты, законодательные акты в сфере защиты информации, подготовка помещений с компьютерной техникой и прокладка сетевых кабелей с учетом требований по ограничению доступа к информации и пр.

При эффективном использовании организационных средств работники предприятия должны быть хорошо осведомлены о технологии работы с охраняемыми сведениями, четко выполнять свои обязанности и нести ответственность за предоставление недостоверной информации, утечку или потерю данных.

Должен быть подписан договор о неразглашении конфиденциальной информации каждым сотрудником, имеющим доступ к секретным данным компании. Если произойдёт нарушение договора, виновного привлекут либо к административной, либо к уголовной ответственности.

Угрозы базам данных: как бороться?

В компании должны использоваться программные средства, отражающие хакерские атаки, проводящие резервное копирование данных примерно раз в неделю автоматически, а также рекомендуется использовать ПО по восстановлению баз данных. Приветствуется использование шифрования информации с помощью специальных алгоритмов (криптография).

Но, на самом деле, эти методы обеспечения безопасности информации недостаточно эффективны. Причина в том, что выяснить источник утечки информации в максимально быстрые сроки очень сложно и эти меры можно легко обойти…

Что делать? Предлагаю Вам пути их модификации:

Для увеличения уровня безопасности доступа не только к базам данных, но и к компьютерам, необходимо производить вход в систему с помощью индивидуального логина и пароля, последний из которых нужно периодически менять.

С помощью этой функции система будет ограничивать права пользователя согласно его роли в компании. Пароль администратора следует менять раз в неделю, смена всех паролей должна осуществляться после ухода кого-либо из сотрудников, имеющего доступ к системе.
Целесообразно использовать метод двухфакторной аутентификации пользователя в сети. Этот метод сейчас широко используется в интернете, так почему же не добавить это в авторизацию в корпоративных системах? Пользователь вводит логин и пароль, а ему на телефон приходит смс с кодом доступа.

После его корректного ввода осуществляется вход в систему. Этот способ не обязательно использовать для каждого сотрудника, но его рекомендуется применять для авторизации пользователей, у которых открыты большие права в системе.
Для более эффективной защиты информации отлично подойдут подавители сети. При обнаружении попытки взлома можно отключить сети на всём предприятии и не дать злоумышленникам повредить/скопировать оставшуюся часть информации.
Возможно использование программного обеспечения, которое будет отслеживать и фиксировать подключения к посторонним сетям, контролировать выгрузку данных в сеть Интернет или на внешние носители.

Если система зафиксирует выгрузку данных, то она может автоматически отправить смс руководству компании и администраторам, которые, в свою очередь, активируют глушители сети и заблокируют все компьютеры в офисе до выявления виновников несанкционированного доступа к базам данных.

А это того стоит?

Несмотря на то, что данные методы защиты повлекут за собой определённые финансовые затраты (как правило — незначительные), эффективность защиты CRM-систем существенно возрастёт.

Таким образом, предложенные методы модификации средств защиты информации помогут усилить степень безопасности конфиденциальной информации организации.

А сталкивались ли Вы с угрозой безопасности Ваших баз данных? Расскажите в комментариях, что это были за угрозы и как Вам удалось с ними справиться.

Валерия Репина,бизнес-аналитик