Безопасность данных

1. Зачем эта страница

Внедрение CRM - это всегда доступ подрядчика к чувствительным данным: клиентской базе, сделкам, переписке, иногда к учётной системе. Логично спросить, как этот доступ устроен и что мешает им злоупотребить.

Ниже - как с доступами и данными работаем мы, и отдельно - что обеспечивает сама платформа Bitrix24.

2. Доступы: принцип минимальных прав

Мы запрашиваем ровно тот уровень доступа, который нужен для конкретных работ, и не больше. Если задача решается правами администратора без выгрузки базы - выгрузка не понадобится.

Работы ведём под именной учётной записью, а не под общим аккаунтом «интегратор». Так в журнале портала видно, кто и что менял, - и это одинаково защищает обе стороны.

• ·Отдельная учётная запись на каждого нашего специалиста.
• ·Доступ выдаёте вы и вы же можете отозвать его в любой момент.
• ·К данным, не относящимся к задаче, не обращаемся.

3. Где живут ваши доступы

Пароли и ключи храним в менеджере паролей, а не в переписке, заметках или таблицах. Просьба прислать пароль в мессенджер - плохая практика, и мы её не поддерживаем: лучше выдать доступ через приглашение в портал.

Вебхуки и ключи интеграций держим в защищённом хранилище проекта. В коде и в документах они не фигурируют.

4. Что происходит после проекта

По завершении работ мы просим отозвать наши учётные записи или переводим их в неактивные - в зависимости от того, продолжается сопровождение или нет.

Рабочие копии данных, если они создавались для переноса или тестирования, удаляем. Если для сопровождения нужен постоянный доступ, это фиксируется отдельно, с ограниченными правами.

5. Конфиденциальность

Мы не разглашаем сведения о клиенте, его процессах и цифрах. Кейсы на сайте публикуем обезличенно: без названий компаний и без данных, которые позволяют их определить.

По запросу подписываем NDA до начала работ. Если у вас есть собственная форма соглашения - работаем по ней.

6. Что даёт сама платформа Bitrix24

Часть защиты обеспечивает вендор - и это не зависит от подрядчика. Кратко о том, на что можно опираться:

• ·Шифрование соединения: данные между браузером и порталом передаются по защищённому каналу.
• ·Двухфакторная аутентификация: вход подтверждается одноразовым кодом, а не только паролем.
• ·Права доступа: сотрудник видит только то, что положено его роли, - вплоть до отдельных полей и стадий.
• ·Журнал действий: видно, кто и что менял в карточках.
• ·Резервное копирование и отказоустойчивость на стороне вендора для облачной версии.
• ·Защита от типовых веб-атак на уровне инфраструктуры вендора.
• ·Размещение белорусского сервиса в национальном сегменте сети - в дата-центрах на территории РБ.

7. Облако или коробка: где безопаснее

Правильный ответ зависит не от того, что «безопаснее вообще», а от ваших требований к хранению данных.

В облаке инфраструктурой, обновлениями и резервным копированием занимается вендор - для большинства компаний этого достаточно. Коробочная версия ставится на ваш сервер: данные полностью под вашим контролем, но и ответственность за обновления, бэкапы и защиту сервера тоже ваша.

8. Что стоит настроить у себя

Большинство инцидентов в CRM - не взлом, а повседневные вещи. Их закрывает настройка:

• ·Права доступа с самого начала, а не «дадим всем полный, чтобы не мешало».
• ·Двухфакторная аутентификация - хотя бы для руководителей и администраторов.
• ·Ограничение массового экспорта базы.
• ·Отзыв доступов при увольнении - процедурой, а не «когда вспомним».
• ·Работа с клиентами через корпоративную телефонию и подключённые каналы, а не с личных телефонов.

9. Если что-то пошло не так

Если вы заметили подозрительную активность, связанную с нашими учётными записями, или уязвимость на этом сайте - напишите на hello@sapetia.by. Мы разбираем такие обращения в приоритете.