Asseco WAPRO Mag – audyt bezpieczeństwa danych to usługa skierowana do firm, które przechowują w programie handlowo-magazynowym dane kontrahentów, historię transakcji oraz dokumenty finansowe i chcą mieć pewność, że dane te są odpowiednio chronione przed utratą, nieautoryzowanym dostępem lub skutkami awarii sprzętu. Ponieważ WAPRO Mag przechowuje wszystkie dane w bazie Microsoft SQL Server, bezpieczeństwo systemu w dużej mierze zależy od prawidłowej konfiguracji samego serwera bazodanowego, a nie wyłącznie od ustawień aplikacji.
W ramach audytu sprawdzamy kompleksowo mechanizmy kopii zapasowych, uprawnienia dostępu do danych oraz zabezpieczenia infrastruktury, na której działa baza danych programu.
Dlaczego bezpieczeństwo danych w WAPRO Mag wymaga odrębnego audytu
Dane przetwarzane przez Asseco WAPRO Mag – kartoteki kontrahentów, historia dokumentów sprzedaży, ceny i rabaty, dane wykorzystywane do raportowania JPK – mają istotną wartość biznesową i często podlegają wymogom ochrony danych osobowych. Utrata tych danych w wyniku awarii dysku, błędu ludzkiego czy ataku szyfrującego może sparaliżować działanie firmy na wiele dni. Audyt bezpieczeństwa danych ocenia, na ile obecna konfiguracja środowiska minimalizuje takie ryzyko.
Kopie zapasowe bazy danych
Pierwszym i najważniejszym obszarem audytu jest weryfikacja mechanizmu tworzenia kopii zapasowych bazy danych SQL Server, na której pracuje WAPRO Mag:
- sprawdzamy, czy kopie zapasowe są wykonywane automatycznie według harmonogramu, a nie wyłącznie ręcznie, gdy ktoś o tym pamięta,
- weryfikujemy, czy kopie zapasowe są przechowywane w lokalizacji fizycznie odseparowanej od serwera produkcyjnego – lokalna kopia na tym samym dysku nie chroni przed awarią sprzętu ani atakiem szyfrującym dane,
- testujemy realną możliwość odtworzenia bazy danych z wykonanej kopii, ponieważ sama obecność pliku kopii zapasowej nie gwarantuje jej poprawności,
- sprawdzamy retencję kopii – jak długo przechowywane są wcześniejsze wersje i czy pozwala to na odtworzenie danych sprzed np. wykrycia błędu, który przez pewien czas pozostawał niezauważony.
Uprawnienia dostępu do danych
Drugim istotnym obszarem jest kontrola, kto i w jakim zakresie ma dostęp do danych w systemie:
- analizujemy listę użytkowników bazy danych SQL Server oraz przypisane im role i uprawnienia,
- sprawdzamy, czy stanowiska robocze łączą się z bazą z użyciem kont o ograniczonych uprawnieniach, zamiast wspólnego konta administracyjnego,
- weryfikujemy, czy hasła dostępowe do bazy danych i do samego programu są odpowiednio zarządzane i czy nie są współdzielone przez wielu pracowników,
- sprawdzamy uprawnienia na poziomie systemu operacyjnego do katalogów, w których przechowywane są pliki bazy danych oraz pliki wydruków i eksportów.
Zabezpieczenie infrastruktury
Audyt obejmuje również ocenę zabezpieczeń otoczenia, w którym pracuje baza danych – aktualność systemu operacyjnego serwera, obecność i konfigurację oprogramowania antywirusowego, ustawienia zapory sieciowej ograniczające dostęp do portu bazy danych wyłącznie do zaufanych adresów w sieci lokalnej, a także zabezpieczenie fizyczne serwera przed nieautoryzowanym dostępem.
Raport i rekomendacje
Wynikiem audytu jest raport wskazujący konkretne luki w zabezpieczeniach wraz z oceną ryzyka i priorytetu działania – od krytycznych braków, takich jak nieistniejące lub nietestowane kopie zapasowe, po zalecenia porządkujące, jak segregacja uprawnień użytkowników. Raport stanowi podstawę do wdrożenia poprawek samodzielnie przez klienta lub zlecenia ich naszemu serwisowi.
Zakres usługi
Audyt bezpieczeństwa danych obejmuje kontrolę mechanizmów kopii zapasowych wraz z testem odtworzenia, przegląd uprawnień użytkowników bazy danych i systemu operacyjnego, ocenę zabezpieczeń sieciowych serwera oraz przygotowanie raportu z rekomendacjami uporządkowanymi według priorytetu.
