启明星辰部署某客户大型CRM系统敏感信息审计案例

一、需求背景

随着组织业务的快速发展,其核心业务系统CRM系统积累和承载了大量的客户信息、生产数据和运营信息。对应用访问和第三方接口进行日志审计,保护核心业务数据,减少由于数据泄密带来的财务、竞争力、公信度的损失,对提高客户和合作伙伴的信任度有着重要意义。

各行业的总部主管部门和国家信息安全主管机构,均对业务信息系统的泄密风险提出警示,并给出了相关的安全指导。 尤其在运营商、电商等领域,对客户信息的重视程度也提到了一个新高度。2013年中国电信集团下发中国电信〔2013〕411号文《关于印发中国电信用户个人信息保护工作提升细则的通知》要求各公司提升中国电信用户个人信息保护管理能力,完善相关管理制度,明确责任分工,加强用户资料、系统访问、信息操作、批量信息使用等关键环节的安全管控,提高用户信息的保护能力。 总而言之,对于核心业务数据特别是用户信息的访问审计与监控,已经成为CRM系统数据安全的重中之重。

二、CRM系统现状及问题分析

CRM系统承载了公司大部分的核心敏感数据,但是,目前对于数据的流转过程、正常业务需求和办公需求导出的数据缺乏有效管控手段,存在泄密的风险。

1、存在的问题 1.1帐号盗用导致敏感信息被篡改 账号被盗用是导致敏感信息泄露的常见案例。曾有某电信公司发生过CRM系统账号被盗用,违规将某客户高值套餐改低值套餐,导致公司收入流失。 1.2内部人员违规导致敏感数据泄露 根据之前发生的泄密事件来看,80%以上的泄密都由于人为因素引起,而非业务系统存在软件漏洞。例如:公司的财务,项目立项、设计等文档通过互联网发到邮箱和云盘,这些信息极易被泄露。 1.3第三方接口带来的安全风险 接口带来的风险主要基于CRM系统对外的银联、电商等接口。网络上某款手机余额查询软件能通过某电商接口与VC接口查询客户姓名,余额,合同号等客户敏感信息并且可以批量查询。第三方接口泄露用户信息事件令公司成为严重受害者,造成了无法挽回的损失。

2、重点监控对象要求 2.1内部人员:组织内人员(营业厅人员),日常工作必须访问业务。在许多情况下,他们可能因为社会关系(亲戚、朋友需求),违规操作了业务(违规办理业务);也可能为了谋取私利,从业务偷取客户资料倒卖。例如:市场的营销人员等可能把客户资料、对应的订单、帐务信息和缴费记录等泄露出去;系统的运维人员(网络管理员、数据库管理员、中间件管理员、系统管理员等)可能把各类普通客户资料、大客户资料的帐务数据、账单明细、帐务信息和记录等泄露出去。 2.2 第三方人员/接口:不可信的第三方人员(如现场开发商、集成商人员),可以访问业务敏感数据,偷取敏感数据倒卖,从中牟利。但因为合作需要,无法完全杜绝这些人员在拥有访问权利的情况下存在的泄密可能,风险仍然存在。例如:代维厂商、代销渠道、银行、邮寄账单商函公司等可能把各类普通客户资料、大客户资料泄露出去;第三方厂商的开发测试人员以可能把各类普通客户资料、大客户资料的帐务数据、账单明细、帐务信息和记录等泄露出去。同样的,第三方接口如果安全设计不严谨,也容易被恶意人员利用,成为敏感信息泄露的重要途径。 2.3 恶意黑客:怀有恶意的人在信息技术方面,采用木马、攻击等方式,伪装成内部人员,从业务系统获取敏感数据(客户资料)。

三、部署方案

采用旁路部署方式,组网如下图:

启明星辰部署某客户大型CRM系统敏感信息审计案例

四、审计成果

1、业务场景 通过启明星辰的业务审计系统,可清楚的审计各种针对CRM系统敏感数据的访问行为。如图,可通过自学习得到关键的操作特征:

启明星辰部署某客户大型CRM系统敏感信息审计案例

被审计的敏感信息访问操作如下: 违规登录:用户登录ip范围基本上是固定的,对于非用户在外地登录进行收费等违规业务操作,需要审计。 密码修改:CRM系统营业员用户修改密码的操作需要特别关注,以防被别有用心的人盗用账号; 非法创建工号:在CRM系统中创建新工号的行为需要关注; 订购信息变更:营业员在终端进行的订购信息的变更操作,需要重点关注,避免财物损失; 重要客户信息查询:营业员对重要客户信息进行查询的操作; 批量订购:同一营业员对同一业务进行大量订购事件的操作; 批量订单信息查询:同一营业员对多个订单进行查询的操作; 批量查询客户信息:对同一营业员连续进行多个客户信息的查询操作; 导出和批量导出:对存在导出功能的页面进行导出操作审计; 异常行为分析:对只查询客户信息不办理业务、利用办理业务的机会多次查询客户信息的异常行为进行审计;

2、审计日志展现 通过实时的流量分析,得到敏感信息访问日志,并跟选择一个敏感信息访问操作进行仿真回放,即可看到该操作发生时,页面返回的关键信息,如图:

启明星辰部署某客户大型CRM系统敏感信息审计案例

启明星辰部署某客户大型CRM系统敏感信息审计案例

通过业务审计系统,不仅可对敏感信息访问行为进行实时告警,还能通过页面回放帮助管理人员进行责任定位和取证,满足了CRM系统的操作审计和敏感信息访问告警的要求。

网友评论