Bezpieczeństwo systemu Insert Subiekt GT to kwestia, która nabiera coraz większego znaczenia – dane o klientach, kontrahentach, cenach i transakcjach stanowią wrażliwe informacje handlowe i mogą podlegać ochronie RODO. Audyt bezpieczeństwa Subiekt GT identyfikuje luki w konfiguracji, nadmierne uprawnienia użytkowników, brak szyfrowania połączeń i inne ryzyka. Nasz serwis przeprowadza audyty bezpieczeństwa dostosowane do wielkości i profilu działalności firmy.
Wynik audytu bezpieczeństwa to nie tylko raport z problemami – to gotowy plan działania zwiększający odporność systemu na ataki zewnętrzne, wycieki danych i nieautoryzowany dostęp pracowników. Regularny audyt bezpieczeństwa to też element wykazywania zgodności z RODO.
Zarządzanie kontami użytkowników i uprawnieniami
Pierwszym obszarem audytu jest weryfikacja kont użytkowników Subiekt GT: czy każdy pracownik ma własne konto (nie współdzielone), czy hasła spełniają wymogi złożoności, czy konta nieaktywnych pracowników zostały dezaktywowane, czy uprawnienia są minimalne (zasada least privilege) – tzn. każdy użytkownik ma dostęp tylko do tych modułów i operacji, które są niezbędne na jego stanowisku. Konta z uprawnieniami administratora Subiekt GT powinny być ograniczone do niezbędnego minimum osób.
Bezpieczeństwo SQL Server
SQL Server stanowi krytyczny element infrastruktury – bezpośredni dostęp do bazy danych omija wszelkie uprawnienia zdefiniowane w Subiekt GT. Weryfikujemy: czy konto SA (System Administrator) ma silne hasło lub jest wyłączone, czy dostęp do SQL Server jest ograniczony do adresów IP serwerów i stacji roboczych, czy nie ma kont SQL z pustymi hasłami lub domyślnymi hasłami, czy SQL Server nie jest dostępny z internetu (port 1433 nie powinien być otwarty na firewallu granicznym).
Szyfrowanie danych i połączeń
W środowiskach wysokiego ryzyka (np. przetwarzanie danych osobowych na dużą skalę) zalecamy włączenie szyfrowania połączeń między Subiekt GT a SQL Server (TLS/SSL). SQL Server obsługuje szyfrowanie połączeń przy użyciu certyfikatów – konfigurujemy certyfikat serwera i wymuszamy szyfrowanie dla wybranych lub wszystkich połączeń. Dla środowisk z pracą przez RDP konfigurujemy szyfrowanie sesji RDP (NLA + TLS), co chroni dane przed podsłuchem w sieci LAN.
Polityka backupu i odtwarzania po ataku
Kopia zapasowa to ostatnia linia obrony – w przypadku ransomware lub innego ataku zniszczającego dane. Weryfikujemy strategię backupu (czy kopie są tworzone regularnie, czy trafiają na zewnętrzne medium lub do chmury, czy był kiedykolwiek testowany restore), sprawdzamy, czy backup jest przechowywany w odizolowanym miejscu (ochrona przed ransomware szyfrującym też zasoby sieciowe). W razie potrzeby projektujemy i wdrażamy kompletną procedurę Disaster Recovery dla środowiska Subiekt GT.
