Безопасность CRM: что важно знать
CRM содержит самую ценную информацию о бизнесе: базу клиентов, историю сделок, переписку, звонки, персональные данные. Утечка этих данных — катастрофа: штрафы, потеря клиентов, репутационный ущерб. Именно поэтому безопасность CRM — приоритет.
В этой статье — разбор безопасности CRM: SSL, 2FA, WAF, шифрование, аудит, соответствие 152-ФЗ. Что важно настроить, какие риски, как защитить данные. Если нужно разместить CRM на защищённом сервере — поможем.
Почему CRM — цель атак
CRM — одна из самых привлекательных целей для злоумышленников. Вот почему.
Ценные данные
База клиентов, история сделок, контакты, переписка. Это деньги и конкурентное преимущество.
Персональные данные
CRM хранит ФИО, телефоны, email, адреса, паспортные данные. Утечка — штрафы по 152-ФЗ.
Много пользователей
Десятки сотрудников имеют доступ. Каждый — потенциальная точка входа.
Последствия
Потеря клиентов, штрафы, блокировка, репутационный ущерб. Восстановление — месяцы.
Основные риски
| Риск | Что это | Последствия |
|---|---|---|
| Утечка данных | Злоумышленник получает доступ к базе | Штрафы, потеря клиентов |
| Брутфорс | Подбор паролей к аккаунтам | Несанкционированный доступ |
| SQL-инъекции | Внедрение SQL-кода через формы | Кража и изменение данных |
| XSS | Внедрение JavaScript | Кража сессий, фишинг |
| Шифровальщики | Шифрование всех данных | Полная потеря данных |
| Инсайдер | Утечка через сотрудника | Кража базы клиентов |
| DDoS | Атака на отказ в обслуживании | Простой CRM |
SSL и HTTPS
SSL — базовое требование безопасности. Без него все данные передаются в открытом виде.
Что важно
- HTTPS только: весь трафик шифруется;
- Сертификат: Let's Encrypt (бесплатно) или коммерческий;
- TLS 1.2+: устаревшие версии отключены;
- HSTS: браузер всегда использует HTTPS;
- Редирект: HTTP → HTTPS автоматически;
- Автопродление: сертификат не должен истечь.
💡 Важно
Без HTTPS логины и пароли сотрудников передаются открытым текстом. Злоумышленник в той же сети может их перехватить.
Аутентификация и 2FA
Аутентификация — первый рубеж защиты. Слабые пароли — самая частая причина взломов.
Пароли
- Минимальная длина: 12+ символов;
- Сложность: буквы, цифры, спецсимволы;
- Уникальность: не использовать одинаковые пароли;
- Менеджер паролей: для хранения и генерации;
- Регулярная смена: для администраторов — каждые 3–6 месяцев.
2FA (двухфакторная аутентификация)
- TOTP: Google Authenticator, Яндекс.Ключ;
- SMS: не самый надёжный, но лучше, чем ничего;
- Аппаратные ключи: YubiKey, FIDO2 — самый надёжный вариант;
- Обязательно для: администраторов, руководителей, бухгалтерии.
Сессии
- Таймаут: сессия истекает через 15–30 минут бездействия;
- Один сеанс: ограничить одновременные входы;
- IP-ограничение: если сотрудники работают из офиса;
- Логирование: фиксировать входы и выходы.
WAF и защита от атак
WAF (Web Application Firewall) — защита от атак на уровне приложения.
Что блокирует WAF
- SQL-инъекции: попытки внедрить SQL-код;
- XSS: внедрение JavaScript;
- CSRF: подделка запросов;
- Path traversal: доступ к файлам вне директории;
- Command injection: внедрение команд ОС;
- Боты и сканеры: автоматические атаки.
Решения
- Cloudflare WAF: бесплатный базовый, платный расширенный;
- Yandex Smart Web Security: российский WAF;
- ModSecurity: open-source, для Nginx/Apache;
- AWS WAF: для облачных решений.
Дополнительно
- Rate limiting: ограничение запросов от одного IP;
- DDoS-защита: через CDN или отдельный сервис;
- Fail2ban: блокировка IP после неудачных попыток входа.
Шифрование данных
Шифрование защищает данные, даже если злоумышленник получил к ним доступ.
Что шифровать
- Диски: шифрование всего диска (LUKS, BitLocker);
- База данных: шифрование таблиц с персональными данными;
- Бэкапы: все бэкапы должны быть зашифрованы;
- Трафик: SSL для всего;
- Секреты: пароли, ключи, токены — в защищённом хранилище.
Инструменты
- LUKS: шифрование дисков в Linux;
- MySQL TDE: прозрачное шифрование БД;
- GPG: для шифрования бэкапов;
- HashiCorp Vault: управление секретами.
Аудит и логи
Аудит — это запись всех действий в CRM. Без него невозможно понять, что произошло при инциденте.
Что логировать
- Входы: кто, когда, откуда;
- Действия: изменение данных, экспорт, удаление;
- Экспорт: кто выгружал базу, сколько записей;
- Ошибки: неудачные попытки входа, ошибки доступа;
- Изменения прав: кто и кому выдал доступ.
Хранение логов
- Отдельное хранилище: не на том же сервере, где CRM;
- Защита: логи нельзя изменить или удалить;
- Сроки: 90 дней — 1 год;
- Анализ: регулярный просмотр на аномалии.
152-ФЗ
CRM содержит персональные данные клиентов. Это значит, что она попадает под действие 152-ФЗ «О персональных данных».
Требования
- Локализация: база данных с персональными данными граждан РФ — на территории РФ;
- Согласие: с 1 сентября 2025 года — отдельное согласие на обработку;
- Уведомление РКН: обязательно для операторов персональных данных;
- Меры защиты: шифрование, доступ, аудит;
- Штрафы: до миллионов рублей за нарушения.
Что делать
- Сервер в РФ: не в Германии и не в США;
- Согласие: формы согласия на сайте и в CRM;
- Защита: SSL, 2FA, WAF, шифрование;
- Аудит: логи доступа к персональным данным;
- Документы: политика, приказы, журналы.
⚠️ Важно
Штрафы за нарушение 152-ФЗ достигают миллионов рублей. А с 30 мая 2025 года введены оборотные штрафы — до 3% выручки. Соблюдение требований — не опция, а обязательство.
Чек-лист безопасности CRM
Инфраструктура
- HTTPS только
- TLS 1.2+
- HSTS включён
- Файрвол настроен
- Fail2ban включён
Аутентификация
- Пароли 12+ символов
- 2FA для админов
- Менеджер паролей
- Таймаут сессий
- Лимит попыток входа
Данные
- Шифрование дисков
- Шифрование БД
- Шифрование бэкапов
- Секреты в Vault
- Права доступа минимальны
Аудит и 152-ФЗ
- Логирование действий
- Логи вне сервера CRM
- Сервер в РФ
- Согласие на обработку
- Уведомление РКН
Наши рекомендации
📌 Что вы получаете, заказывая безопасность CRM у нас
- SSL и HTTPS — шифрование трафика
- 2FA — двухфакторная аутентификация
- WAF — защита от SQL-инъекций, XSS, ботов
- Шифрование — диски, БД, бэкапы
- Аудит — логирование, SIEM
- 152-ФЗ — соответствие требованиям
- Реакцию на инциденты — помощь при проблемах
🔹 Оставьте заявку на защиту CRM
Хотите защитить данные клиентов? Оставьте заявку на бесплатную консультацию.
📌 Итоговый вывод
Безопасность CRM — это защита самой ценной информации о вашем бизнесе.
Что нужно знать:
- Почему важно — ценные данные, персональная информация, много пользователей
- Риски — утечки, брутфорс, SQL-инъекции, XSS, шифровальщики, инсайдер
- SSL — HTTPS только, TLS 1.2+, HSTS
- Аутентификация — сложные пароли, 2FA для админов, таймауты
- WAF — защита от SQL-инъекций, XSS, ботов
- Шифрование — диски, БД, бэкапы, секреты
- Аудит — логирование действий, хранение вне сервера
- 152-ФЗ — локализация в РФ, согласие, уведомление РКН
Хотите защитить CRM? Закажите консультацию в Lead Hub.
Также рекомендуем: как выбрать хостинг для CRM, CRM на shared или VPS, хостинг для Битрикс24, как ускорить CRM, ошибки при выборе, хостинг для CRM.