启明星辰部署某客户大型CRM系统敏感信息审计案例

一、需求背景

随着组织业务的快速发展，其核心业务系统CRM系统积累和承载了大量的客户信息、生产数据和运营信息。对应用访问和第三方接口进行日志审计，保护核心业务数据，减少由于数据泄密带来的财务、竞争力、公信度的损失，对提高客户和合作伙伴的信任度有着重要意义。

各行业的总部主管部门和国家信息安全主管机构，均对业务信息系统的泄密风险提出警示，并给出了相关的安全指导。 尤其在运营商、电商等领域，对客户信息的重视程度也提到了一个新高度。2013年中国电信集团下发中国电信〔2013〕411号文《关于印发中国电信用户个人信息保护工作提升细则的通知》要求各公司提升中国电信用户个人信息保护管理能力，完善相关管理制度，明确责任分工，加强用户资料、系统访问、信息操作、批量信息使用等关键环节的安全管控，提高用户信息的保护能力。 总而言之，对于核心业务数据特别是用户信息的访问审计与监控，已经成为CRM系统数据安全的重中之重。

二、CRM系统现状及问题分析

CRM系统承载了公司大部分的核心敏感数据，但是，目前对于数据的流转过程、正常业务需求和办公需求导出的数据缺乏有效管控手段，存在泄密的风险。

1、存在的问题 1.1帐号盗用导致敏感信息被篡改 账号被盗用是导致敏感信息泄露的常见案例。曾有某电信公司发生过CRM系统账号被盗用，违规将某客户高值套餐改低值套餐，导致公司收入流失。 1.2内部人员违规导致敏感数据泄露 根据之前发生的泄密事件来看，80%以上的泄密都由于人为因素引起，而非业务系统存在软件漏洞。例如：公司的财务，项目立项、设计等文档通过互联网发到邮箱和云盘，这些信息极易被泄露。 1.3第三方接口带来的安全风险 接口带来的风险主要基于CRM系统对外的银联、电商等接口。网络上某款手机余额查询软件能通过某电商接口与VC接口查询客户姓名，余额，合同号等客户敏感信息并且可以批量查询。第三方接口泄露用户信息事件令公司成为严重受害者，造成了无法挽回的损失。

2、重点监控对象要求 2.1内部人员：组织内人员（营业厅人员），日常工作必须访问业务。在许多情况下，他们可能因为社会关系（亲戚、朋友需求），违规操作了业务（违规办理业务）；也可能为了谋取私利，从业务偷取客户资料倒卖。例如：市场的营销人员等可能把客户资料、对应的订单、帐务信息和缴费记录等泄露出去；系统的运维人员（网络管理员、数据库管理员、中间件管理员、系统管理员等）可能把各类普通客户资料、大客户资料的帐务数据、账单明细、帐务信息和记录等泄露出去。 2.2 第三方人员/接口：不可信的第三方人员（如现场开发商、集成商人员），可以访问业务敏感数据，偷取敏感数据倒卖，从中牟利。但因为合作需要，无法完全杜绝这些人员在拥有访问权利的情况下存在的泄密可能，风险仍然存在。例如：代维厂商、代销渠道、银行、邮寄账单商函公司等可能把各类普通客户资料、大客户资料泄露出去；第三方厂商的开发测试人员以可能把各类普通客户资料、大客户资料的帐务数据、账单明细、帐务信息和记录等泄露出去。同样的，第三方接口如果安全设计不严谨，也容易被恶意人员利用，成为敏感信息泄露的重要途径。 2.3 恶意黑客：怀有恶意的人在信息技术方面，采用木马、攻击等方式，伪装成内部人员，从业务系统获取敏感数据（客户资料）。

三、部署方案

采用旁路部署方式，组网如下图：

四、审计成果

1、业务场景 通过启明星辰的业务审计系统，可清楚的审计各种针对CRM系统敏感数据的访问行为。如图，可通过自学习得到关键的操作特征：

被审计的敏感信息访问操作如下： 违规登录：用户登录ip范围基本上是固定的，对于非用户在外地登录进行收费等违规业务操作，需要审计。 密码修改：CRM系统营业员用户修改密码的操作需要特别关注，以防被别有用心的人盗用账号； 非法创建工号：在CRM系统中创建新工号的行为需要关注； 订购信息变更：营业员在终端进行的订购信息的变更操作，需要重点关注，避免财物损失； 重要客户信息查询：营业员对重要客户信息进行查询的操作； 批量订购：同一营业员对同一业务进行大量订购事件的操作； 批量订单信息查询：同一营业员对多个订单进行查询的操作； 批量查询客户信息：对同一营业员连续进行多个客户信息的查询操作； 导出和批量导出：对存在导出功能的页面进行导出操作审计； 异常行为分析：对只查询客户信息不办理业务、利用办理业务的机会多次查询客户信息的异常行为进行审计；

2、审计日志展现 通过实时的流量分析，得到敏感信息访问日志，并跟选择一个敏感信息访问操作进行仿真回放，即可看到该操作发生时，页面返回的关键信息，如图：

通过业务审计系统，不仅可对敏感信息访问行为进行实时告警，还能通过页面回放帮助管理人员进行责任定位和取证，满足了CRM系统的操作审计和敏感信息访问告警的要求。