Безопасность данных в Битрикс24

Законодательное регулирование

Современное законодательство в большинстве стран накладывает строгие требования на обработку и хранение персональных данных:

• В нашей стране действуют Закон Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации» и Закон Республики Беларусь от 7 мая 2021 г. № 99-З «О защите персональных данных».
• В России активно работает Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 N 149-ФЗ и Федеральный закон «О персональных данных» от 27.07.2006 N 152-ФЗ.
• В Европейском Союзе с 25 мая 2018 года действует General Data Protection Regulation (GDPR) — общий регламент по защите данных, который обладает прямым действием на все страны Европейского Союза.

В фокусе законодательства, связанного с персональными данными, — сбор, обработка и передача данных граждан. В фокусе законов, связанных с информацией и её защитой, — отношения, которые возникают при поиске, получении, передаче, сборе, обработке, накоплении, хранении, распространении и (или) предоставлении информации. Далее учтены аспекты использования информации.

Защита репутации бизнеса

Утечки данных могут серьезно навредить репутации компании.

Неприятные последствия для бизнеса:

• Потеря доверия клиентов.
• Отток текущих пользователей.
• Негативное освещение деятельности компании в информационном пространстве.
• Рост киберугроз.

С увеличением числа кибератак и методов взлома защита данных стала жизненно важной. Хакеры часто нацеливаются именно на персональную информацию клиентов, которую затем используют для мошенничества, продажи в даркнете или элементарного, но имеющего крайне неприятные последствия для бизнеса, шантажа.

Что стоит за уязвимостями в плане безопасности?

Риски:

• Финансовые убытки, судебные санкции, необходимость выплаты компенсации клиентам.
• Простои в работе, потребность в восстановлении баз данных, IT-систем.
• Упущенная прибыль.
• Снижение доверия клиентов.

Пример: компании после утечек данных несут существенные расходы как на восстановление систем безопасности, так и на выплату штрафов.
Именно поэтому при внедрении CRM, в том числе Битрикс24, многих волнует, насколько она обеспечивает безопасность информации. Избавиться от рутины, наладить легкие взаимоотношения с клиентами, оптимизировать документооборот — это здорово. Но что в плане безопасности?

Закон Республики Беларусь «Об информации, информатизации и защите информации»

Соответствует ли CRM Битрикс24 требованиям Закона Республики Беларусь «Об информации, информатизации и защите информации»?

Да, облачная и коробочная версии адаптированы под законодательство Беларуси. Продукты разработаны так, чтобы создать идеальные условия для шифрования данных на всех этапах (передача, хранение) при работе с административным разделом или закрытыми разделами.

Осуществляется SSL-шифрация в рамках протокола HTTPS. Большой плюс — данный протокол беспрепятственно поддерживается всеми современными браузерами и не требует установки дополнительных компонентов. При использовании CRM Битрикс24 вы можете быть спокойны при передаче имени и пароля пользователя, данных сессий. Для передачи пользовательских данных используется SSL-шифрование с длиной ключа 256 бит. Алгоритм эффективно обрабатывает большое количество подключений. Время обработки данных максимально оптимизировано.

Строгое разграничение прав доступа для сотрудников. Это возможно благодаря тому, что в CRM Битрикс24 используется ролевая модель управления доступом. Она позволяет не только скрывать или показывать информацию, но и определять, что с ней можно делать: просматривать, экспортировать, импортировать, редактировать. Спектр настроек очень обширный. Есть предустановленные роли, а есть возможности «проработать» каждую роль в соответствии со спецификой конкретной компании. При настройке Битрикс24 команда mediaSol всегда поможет разобраться в нюансах работы пользователей с разными ролями. Проводится тестирование различных сценариев, учитываются риски, связанные с конфликтом прав, которые могут возникнуть, если неопытные пользователи для отдела установят минимальные права, а персонально для конкретного сотрудника (например, ведущего специалиста) — максимальные.

Важно! Проводятся регулярные проверки на соответствие национальным стандартам. CRM Битрикс24 активно используется в Беларуси, России, Польше, Испании, Эстонии и США — география действительно безгранична.

Соблюдение требований законодательства Республики Беларусь «Об информации, информатизации и защите информации» помогает максимально учесть следующие статьи при внедрении и настройке системы:

• Статья 15. Право на доступ к информации: CRM может содержать информацию о клиентах и других лицах, поэтому важно соблюдать правила доступа к информации и обеспечивать её законное использование.
• Статья 17. Обязанности обладателя информации: обладатель информации, содержащейся в CRM, обязан принимать меры по её защите, обеспечивать её достоверность и своевременное обновление.
• Статья 18. Защита информации: эта статья устанавливает общие требования к защите информации, включая предотвращение несанкционированного доступа, утечки, искажения и уничтожения информации.
• Статья 21. Персональные данные: CRM часто содержит персональные данные клиентов, поэтому важно соблюдать требования к обработке, хранению и защите персональных данных, установленные законом.

Как учитывается Закон «О защите персональных данных»?

На Законе «О защите персональных данных», который стоит рассматривать в купе со статьей 21 Закона Республики Беларусь от 10 ноября 2008 г. № 455-З «Об информации, информатизации и защите информации», стоит остановится отдельно.

1. CRM Битрикс24 прошла строгую государственную аттестацию, поэтому безопасность персональных данных находится под надежной защитой.
2. CRM Битрикс24 полностью соответствует требованиям белорусского законодательства.

Преимущества проведения аттестации CRM Битрикс24 для клиентов:

• Гарантия безопасности данных: аттестат соответствия системы означает, что CRM отвечает современным стандартам безопасности, обеспечивая защиту данных клиентов.
• Соответствие актуальным законодательным нормам: скажите «нет» рискам, связанным с неприятными правовыми последствиями.
• Упрощение взаимодействия с регуляторами: вы, будучи клиентом, который внедряет CRM, освобождаетесь от необходимости самостоятельного прохождения процедуры получения аттестата соответствия, что облегчает взаимодействие с органами надзора.
• Проведение аттестации сервисом — возможность существенно сократить время, затрачиваемое на получение необходимых разрешений и сертификатов. Команда Битрикс24 уже всё сделала за вас. А ещё это существенное снижение затрат на безопасность в целом — не только временное, но и финансовое.

Внедряйте Битрикс24 и обретите уверенность в сохранности данных. Ваши данные уверены, что ваши данные хранятся и обрабатываются в защищенной среде.

Кстати, облачная версия при этом соответствует ISO/IEC 27001. Если вы выходите на международный рынок или ваша ниша — IT, финансы, торговля, транспорт, логистика, образование, медицина, CRM Битрикс24 для вас — просто находка.

Где физически хранятся данные в облачной версии для белорусских клиентов?

Если с «коробкой» в плане безопасности всё более понятно, ведь она устанавливается на сервер компании или у своего провайдера, то по поводу облачной версии у многих возникают сомнения. А зря!

Данные пользователей из Беларуси хранятся в сертифицированных дата-центрах на территории самой страны, и минимальные задержки при работе здесь — только один из плюсов. Это гарантирует соблюдение локальных требований!

Самый надёжный уровень для дата-центров Беларуси при этом — Tier III. На них и ориентирована CRM Битрикс24.

Почему дата-центры Tier III считаются наиболее надежными?

В случае выхода из строя одного компонента, другой может взять на себя его функции, минимизируя риск простоя.
Все системы в Tier III способны работать параллельно, что обеспечивает дополнительный уровень надежности. Даже если потребуется техническое обслуживание компонентов, остановки работы дата-центра не произойдёт.

Дата-центры с такой сертификацией обычно имеют строгие меры физической безопасности (контроль доступа, видеонаблюдение и охрана).

Важно! Для обеспечения бесперебойной работы облачного сервиса Битрикс24 в Республике Беларусь используются два независимых датацентра.При этом активирована автоматическая и полуавтоматическая реакция на аварийные ситуации.

Каждый день выполняется резервное копирование на нескольких уровнях. Предусмотрены различные сценария восстановления, а также непрерывное онлайн-резервирование в два датацентра.

Все дата-центры, в которых размещен Битрикс24, защищены по стандарту SAS 70 Type, который разработан авторитетным институтом AICPA.

Зона ответственности пользователей CRM Битрикс24

Но пользователи, безусловно, также должны следить за CRM. Для защиты от шпионских программ, которые потенциально могут украсть логин/пароль сотрудников с целью получить доступ к данным, важно используется двухэтапная авторизация (пароль и одноразовый код, поступающий в приложение на мобильном телефоне).

Данные авторизации, передаваемые с клиентской машины в «облако» могут быть дополнительно зашифрованы через JavaScript. Для этого используются ключи RSA. Более того, при необходимости можно подключить дополнительную авторизацию через OTP (One-Time-Password). Это реализуется посредством eToken.

А что с вредоносными кодами, загружаемыми с помощью PHP?

Некоторые боятся приложения Битрикс24 и «облака» в целом, так как наслышаны про загрузки вредоносного кода через PHP.
Но СRM Битрикс24 здесь надёжно защищена. Специальный модуль «Проактивная защита» блокирует 100% вторжений такого плана.

Данные и SQL-код системой обрабатываются отдельно. Если хакер захочет ввести вредоносный код, он интерпретируется как данные, а не как часть SQL-запроса.

Как организована безопасность коробочной версии?

Впрочем, те, кто выбирает коробочную версию, часто делают это в первую очередь по причине максимально конфиденциальных данных, и о безопасности хочется знать абсолютно всё.

Но «фишка» здесь как раз в том, что у вас есть не просто широкие возможности, а полный контроль! Установка продукта на ваши серверы позволяет эффективно достичь следующих целей:

• Интегрировать систему с корпоративными средствами защиты (например, межсетевыми экранами, брандмауэром, firewall, который повышает прозрачность сети, блокирует подозрительную активность).
• Проводить независимые аудиты безопасности.
• Использовать локальные обновления через официального партнёра.

Кстати, коробочная версия поддерживает интеграцию с системами криптозащиты, сертифицированными в Республике Беларусь.
Единственное, при отличной инфраструктуре пользователи должны быть дисциплинированные в соблюдении правил кибербезопасности, а администраторы — следить за обеспечением надежной защиты в рамках собственной зоны ответственности.

• Надёжность паролей для входа в административную часть.
• Использование SFTP/SCP для хранения админских паролей, паролей доступа по FTP.
• Продуманное использование разделения прав доступа пользователей.
• Грамотная работа с модулем "Проактивная защита" и штатными системами безопасности Bitrix Framework.

И, разумеется, коробку нужно РЕГУЛЯРНО ОБНОВЛЯТЬ. Обновления позволяют не просто использовать новые инструменты, но и повышают безопасность и стабильность работы CRM Битрикс24.

Обновление CRM осуществляется с помощью SiteUpdate — встроенной системы, которая не затрагивает публичную часть Битрикс24, поэтому сохраняет данные в ней.

Что всё-таки выбрать — облако или коробку?

В плане безопасности оба решения надёжны! Единственное, в «облаке» за безопасность отвечает SSL, WAF, при внедрении «коробки» речь идёт ещё о более впечатляющих возможностях — - о настраиваемой безопасности и доступе к backend. Поэтому, в первом случае о вас уже позаботились, во втором — создали нужную инфраструктуру и предлагают взять от неё эффективные возможности и инструменты.
Проективный фильтр WAF (Web Application Firewall) отслеживает и фильтрует входящий трафик, блокирует вредоносные запросы. SSL шифрует данные между браузером пользователя и вашим сервером.

Но если стоит дилемма между выбором CRM Битрикс24 - облачной или коробочной версии, прислушайтесь к следующим рекомендациям:

1. Коробочная версия незаменима для крупных компаний, которым важна закрытая среда. Это идеальный выбор для госорганизаций и бизнеса, требующего полного контроля над IT-инфраструктурой в строгих рамках белорусского законодательства.
2. Облако подходит для компаний, которые ценят удобство и доверяют хранение данных локализованным дата-центрам с мировыми стандартами защиты. Если ваш бизнес представлен в нескольких странах, выбирайте облако с тарифом «Энтерпрайз», где есть филиальная структура.

СRM и безопасность на практике

А знаете ли вы что....

• В CRM Битрикс24 при соотвествующей настройке роли вы как руководитель, HR, cпециалист по безопасности, сисадмин можете отслеживать историю входов сотрудников. В фокусе будут, в том числе, и IP-адреса, с которых сотрудник заходил в Битрикс24.
• Администратору системы доступна история входов всех сотрудников, а сотрудники могут посмотреть только свою историю входов в личном профиле.
• В системе предусмотрена замечательная опция «Контроль слабых паролей», которая может быть включена для любой группы пользователей по отдельности.

Резюме

Безопасность даных в Битрикс24, внедрение системы, её использование неразделимы. 

Безопасность в CRM — это критически важный аспект, который необходимо учитывать для защиты данных клиентов и обеспечения надежности работы системы. Вот основные моменты, на которые стоит обратить внимание:

1. Использование шифрования для хранения и передачи данных — это один из основных методов защиты. И CRM Битрикс24 прекрасно справляется со своей задачей.
2. При использовании CRM важно её соотвествие законодательству. CRM Битрикс24 полностью соответствует белорусскому правовому полю.
3. Чтобы обеспечить защиту, важно внедрять многофакторную аутентификацию для пользователей системы, чтобы снизить риск несанкционированного доступа. Также важно настраивать уровень доступа для различных пользователей, чтобы они могли видеть только ту информацию, которая им необходима для работы. CRM Битрикс24 это также позволяет сделать.
4. Системы CRM должны регулярно обновляться для устранения уязвимостей, которые могут быть обнаружены. Обновления должны выполнятся своевременно.
5. Важно проводить обучение сотрудников по вопросам безопасности, чтобы они были осведомлены о рисках и могли правильно реагировать на потенциальные угрозы.