Məxfi məlumatın sızması həmişə mürəkkəb kiberhücumla başlamır. Bəzən səbəb fiziki giriş nəzarətinin zəifliyi, əməkdaşın həddindən artıq səlahiyyəti, nəzarətsiz fayl paylaşımı və ya qeydə alınmayan bir əməliyyat olur. Xarici mediada məxfi görüş otağında gizlədilmiş qeyd cihazı ilə bağlı yayımlanan iddialar da bizneslər üçün vacib bir məqamı xatırladır: məlumat təhlükəsizliyi yalnız server, parol və antivirus mövzusu deyil. İnsanlar, məkanlar, proseslər və proqram sistemləri eyni təhlükəsizlik zəncirinin həlqələridir.
Azərbaycan şirkətləri üçün bu məsələ xüsusilə aktualdır. Satış bazası, qiymət siyasəti, təchizatçı şərtləri, əmək haqqı məlumatları, müqavilələr, layihə sənədləri və müştəri müraciətləri çox vaxt müxtəlif Excel fayllarında, mesajlaşma qruplarında və ayrı-ayrı əməkdaşların cihazlarında saxlanılır. Bu parçalanma həm idarəetməni çətinləşdirir, həm də məlumatın kim tərəfindən, nə vaxt və hansı məqsədlə istifadə edildiyini izləməyi mümkünsüz edir. Düzgün qurulmuş korporativ proqram təminatı məlumatı sadəcə bir yerə toplamaq üçün deyil, onun üzərində nəzarət yaratmaq üçün nəzərdə tutulmalıdır.
Təhlükəsizliyin başlanğıcı: hansı məlumatın həssas olduğunu müəyyən edin
Hər məlumat eyni qoruma səviyyəsinə ehtiyac duymur. Məsələn, ictimai məhsul kataloqu ilə əməkdaşların maaş məlumatı və ya kommersiya təklifi eyni qaydada idarə edilməməlidir. İlk praktik addım şirkətdə olan məlumatları təsnifləşdirməkdir. Bu iş texniki komandadan əvvəl biznes rəhbərləri, şöbə məsulları və hüquqi sənədlərlə işləyən əməkdaşların iştirakı ilə aparılmalıdır.
- İctimai məlumat: sayt məzmunu, açıq məhsul məlumatları, rəsmi elanlar.
- Daxili məlumat: prosedurlar, iş planları, ümumi əməliyyat hesabatları.
- Məxfi məlumat: müqavilələr, müştəri bazası, satış qiymətləri, maliyyə göstəriciləri.
- Xüsusi məhdudiyyətli məlumat: əməkdaş məlumatları, giriş açarları, strateji planlar və istintaq xarakterli qeydlər.
Təsnifatın məqsədi “hamıya qadağa qoymaq” deyil. Məqsəd odur ki, proqramda hər məlumat növü üçün aydın qayda yaransın: kim baxa bilər, kim dəyişə bilər, kim ixrac edə bilər və hansı əməliyyat mütləq qeydə alınmalıdır. Bu qaydalar əvvəlcədən müəyyən edilməzsə, sistem qurulduqdan sonra səlahiyyətlər adətən təsadüfi istəklərlə genişlənir.
Rol əsaslı giriş modeli: hər kəsə tam səlahiyyət verməyin
Şirkətlərdə geniş yayılmış səhvlərdən biri bütün istifadəçilərə “idarəçi” və ya ona yaxın səviyyədə giriş verməkdir. Bunun səbəbi adətən rahatlıqdır: yeni əməkdaş üçün ayrıca rol yaratmaq əvəzinə mövcud yüksək səlahiyyətli hesabın hüquqları təkrarlanır. Lakin bu yanaşma həm səhv ehtimalını, həm də qəsdən sui-istifadə riskini artırır.
Rol əsaslı giriş modelində istifadəçiyə birbaşa, qarışıq icazələr deyil, vəzifəsinə uyğun rol təyin edilir. Məsələn, satış meneceri yeni müştəri yarada, öz satışlarını yeniləyə və təklif hazırlaya bilər. Amma o, bütün əməkdaşların əmək haqqı sənədlərini görməməli, sistem parametrlərini dəyişməməli və bütöv müştəri bazasını ixrac etməməlidir. Maliyyə əməkdaşı ödəniş statuslarını idarə edə bilər, lakin məhsul kataloqunun qiymət formulunu dəyişmək səlahiyyətinə malik olmamalıdır.
Səlahiyyətlərin dövri yoxlanışı
Giriş hüquqları birdəfəlik qərar deyil. Şöbə dəyişikliyi, məzuniyyət, layihənin bitməsi və işdən ayrılma hallarında səlahiyyətlər yenilənməlidir. Praktik yanaşma olaraq hər rüb və ya biznesin ölçüsünə uyğun başqa dövrdə rol siyahısı yoxlanıla bilər. Rəhbər hər əməkdaşın hansı məlumatlara çıxışı olduğunu təsdiqləyir, artıq səlahiyyətlər silinir. İşdən ayrılan əməkdaşın hesabının dərhal bloklanması isə standart əməliyyat prosedurunun hissəsi olmalıdır.
Əlavə olaraq, sistemə giriş üçün güclü parol qaydaları və mümkün olduqda çoxfaktorlu təsdiqləmə tətbiq olunmalıdır. Bu, təkbaşına bütün riski aradan qaldırmır, amma oğurlanmış və ya paylaşılmış parolun yaratdığı riski xeyli məhdudlaşdırır.
Audit qeydləri: sistemdə nə baş verdiyini sonradan görə bilmək
Təhlükəsizlik insidenti zamanı ən çətin suallardan biri budur: “Bu məlumatı kim açdı, dəyişdi və ya ixrac etdi?” Əgər proqram bu suallara cavab vermirsə, rəhbərlik ehtimallarla hərəkət etməli olur. Audit qeydləri istifadəçi fəaliyyətinin izlənə bilən tarixçəsidir və korporativ sistemin əsas funksiyalarından sayılmalıdır.
Faydalı audit qeydi minimum olaraq istifadəçinin identifikatorunu, əməliyyatın vaxtını, dəyişdirilən obyektin növünü, əvvəlki və yeni dəyəri, giriş üsulunu və mümkün olduqda əməliyyatın mənbəyini saxlamalıdır. Xüsusilə aşağıdakı hadisələr izlənməlidir:
- yeni istifadəçi və ya rol yaradılması;
- səlahiyyətlərin dəyişdirilməsi;
- müştəri, müqavilə və maliyyə məlumatlarının kütləvi ixracı;
- həssas sənədin yüklənməsi və silinməsi;
- qeyri-adi vaxtda və ya ardıcıl uğursuz giriş cəhdləri;
- sistem parametrlərinin dəyişdirilməsi.
Audit jurnalı yalnız hadisədən sonra baxılan arxiv olmamalıdır. Məsul şəxs müəyyən dövrlərlə qeydləri nəzərdən keçirməli, qeyri-adi ixracları və səlahiyyət dəyişikliklərini yoxlamalıdır. Bununla yanaşı, loglara giriş də məhdudlaşdırılmalıdır; əks halda qeydi yaradan və onu silə bilən eyni istifadəçi nəzarət mexanizmini zəiflədir.
İnteqrasiyalar və mobil giriş ayrıca risk nöqtələridir
Müasir şirkətdə məlumat tək bir sistemdə qalmır. CRM sayt formalarından müraciət qəbul edir, ERP anbar və maliyyə prosesləri ilə işləyir, mobil tətbiq sahə əməkdaşına sifariş və ya xidmət məlumatını göstərir. Bu inteqrasiyalar əməliyyat sürətini artırsa da, hər yeni bağlantı əlavə nəzarət tələb edir.
İnteqrasiya qurularkən “hansı məlumat, hansı istiqamətdə, hansı tezliklə ötürülür?” sualı yazılı şəkildə cavablandırılmalıdır. Saytdakı əlaqə forması üçün lazım olan ad, telefon və müraciət mövzusu ilə tam müştəri tarixçəsinin paylaşılması eyni şey deyil. Minimum zəruri məlumat prinsipi burada da tətbiq edilməlidir. Proqramlararası əlaqə üçün istifadə olunan açarlar ayrıca saxlanmalı, dövri yenilənməli və geniş səlahiyyətli ümumi hesabla əvəz edilməməlidir.
Mobil girişdə cihazın itməsi, ekranın başqası tərəfindən görünməsi və açıq sessiyanın qalması kimi risklər mövcuddur. Buna görə tətbiqdə sessiya müddəti, yenidən autentifikasiya, istifadəçi roluna uyğun ekranlar və zərurət olduqda uzaqdan girişin ləğvi nəzərə alınmalıdır. Sahə satış əməkdaşı üçün mobil ekranda lazım olan sifariş məlumatı ilə rəhbərlik panelindəki bütün kommersiya göstəricilərinin eyni səviyyədə açılması düzgün yanaşma deyil.
Texniki həll proses və fiziki təhlükəsizliklə tamamlanmalıdır
Ən yaxşı sistem belə, əməkdaş ekranını açıq qoyursa və ya məxfi görüşdə kimin iştirak etdiyi bilinmirsə, tam qoruma təmin etmir. Xəbər kontekstinin əsas dərsi də budur: şirkət məxfi müzakirələrin keçirildiyi məkanları, qonaq girişini, görüş iştirakçılarının qaydalarını və cihaz siyasətini ayrıca idarə etməlidir. Bu, hər görüşün həddindən artıq məhdudlaşdırılması demək deyil; məlumatın həssaslığına uyğun davranış qaydası qurmaq deməkdir.
Şirkət daxilində aşağıdakı sadə qaydalar faydalı ola bilər:
- Məxfi görüş və sənədlər üçün məsul şəxs müəyyən edin.
- Görüş otağına qonaq girişini və paylaşılmış cihazlardan istifadəni qeydiyyata alın.
- Ekranda həssas məlumat açıq qalanda iş yerini tərk etməmə qaydasını tətbiq edin.
- Şübhəli e-poçt, fayl, cihaz və ya sistem fəaliyyəti barədə məlumat vermək üçün aydın daxili kanal yaradın.
- İnsident baş verəndə kimin hansı qərarı verəcəyini əvvəlcədən müəyyən edin.
Təhlükəsizlik yalnız qadağalar toplusu deyil; biznes prosesində doğru şəxsin doğru məlumatla, doğru vaxtda işləməsini təmin edən idarəetmə modelidir.
Korporativ proqram təminatını tətbiq edərkən praktik yol xəritəsi
Sistemi sıfırdan qurarkən və ya köhnə həlli yeniləyərkən təhlükəsizlik tələblərini layihənin sonuna saxlamaq baha və çətin olur. Onları ilkin tələblər sənədinə daxil etmək daha düzgündür. Əvvəl biznes prosesləri xəritələnir, sonra məlumat növləri və istifadəçi rolları müəyyən edilir, daha sonra isə ekranlar, inteqrasiyalar və hesabatlar bu məntiqə uyğun hazırlanır.
Bu mərhələdə fərdi korporativ proqram təminatı şirkətin real iş axınına uyğunlaşdırıla bilər: təsdiq mərhələləri, şöbə məhdudiyyətləri, sənəd versiyaları, ixrac qaydaları və audit tələbləri sistemin ayrılmaz hissəsi kimi planlanır. JedanSoft-un korporativ proqram təminatı xidməti üzrə ilkin müzakirədə də proses xəritəsi, istifadəçi rolları və inteqrasiya ehtiyaclarının dəqiqləşdirilməsi texniki işə başlamazdan əvvəl vacib mərhələdir.
Nəticədə məqsəd sadəcə daha çox funksiyalı proqram almaq deyil. Məqsəd məlumatın harada olduğunu, kimə açıq olduğunu, hansı dəyişikliklərin edildiyini və problem yarananda necə reaksiya veriləcəyini bilən idarəolunan iş mühiti yaratmaqdır. Bu yanaşma həm gündəlik əməliyyatlarda nizam yaradır, həm də məxfi məlumatla bağlı risklərin vaxtında görünməsinə kömək edir.
Tez-tez verilən suallar
Korporativ proqram təminatında audit qeydi nədir?
Audit qeydi istifadəçinin sistemdə etdiyi əməliyyatın tarixçəsidir. Adətən kim, nə vaxt, hansı məlumat üzərində hansı əməliyyatı edib suallarına cavab verir.
Hər əməkdaşa eyni giriş səlahiyyəti vermək olarmı?
Məsləhət görülmür. Səlahiyyətlər əməkdaşın vəzifəsi və iş ehtiyacı əsasında verilməlidir. Bu, səhv və icazəsiz məlumat istifadəsi riskini azaldır.
İnteqrasiya zamanı hansı məlumat paylaşılmalıdır?
Yalnız konkret proses üçün zəruri olan məlumat paylaşılmalıdır. Məlumatın növü, ötürülmə istiqaməti, istifadə məqsədi və giriş hüquqları əvvəlcədən müəyyən edilməlidir.
Növbəti addım
korporativ proqram təminatı ilə bağlı layihənizi Veb saytların hazırlanması komandası ilə planlaşdırın. Tələbinizi dəqiqləşdirmək üçün JedanSoft-a müraciət edin.
