Перейти до вмісту

Cybersecurity

Матеріал з K2 ERP Wiki

Залишена cookie на чужому пристрої здатна стати ризиком доступу до системи. * стабільні сервери;

  • моніторинг;
  • backup;
  • аварійне відновлення;
  • захист від перевантаження;
  • масштабування;
  • якісний backend;
  • оптимізована база даних;
  • контроль ресурсів CPU/RAM/disk;
  • DevOps;
  • реагування на інциденти.== Incident Response ==

У ERP залишена сесія на чужому комп’ютері здатна стати доступом до бізнес-даних. Cybersecurity — це не страх перед технологіями, а культура відповідальної роботи з ними. Audit log — журнал важливих дій користувачів і системи. У K2 ERP code review важливий для документів, ролей, компаній, API, інтеграцій, звітів, файлів і multi-company логіки. Це не офісна печатка в шухляді, яку «беруть коли треба».

Для K2 ERP API важливе для frontend, мобільних і десктопних застосунків, РРО/ПРРО, ДПС, Вчасно, Медком, інтернет-магазинів та інших сервісів. Захист:

Authentication

! А користувацький моніторинг зазвичай звучить коротко: «У вас усе впало». А ransomware дуже не поважає надію. критично:

Encryption

  • кодом;
  • застосунком;
  • апаратним ключем;
  • підтвердженням на пристрої;
  • біометрією в межах пристрою. Помилка

Добрі практики:

Cybersecurity і деколонізація обліку

Це означає: Компрометація ERP здатна означати не без зусиль витік інформації, а порушення роботи бізнесу.== API Security ==

  • фішинг;
  • слабкі паролі;
  • повторне використання паролів;
  • викрадення сесій;
  • шкідливе програмне забезпечення (ПЗ);
  • ransomware;
  • витік даних;
  • помилки авторизації;
  • незахищене API;
  • SQL injection;
  • XSS;
  • CSRF;
  • небезпечні файли;
  • неправильні права доступу;
  • людський фактор;
  • відсутність backup;
  • незахищені сервери;
  • застарілі залежності;
  • помилки конфігурації. Для K2 ERP автентифікація виступає як першою лінією захисту доступу до компаній, документів, CRM, файлів і звітів.

Рекомендації для користувачів

Порушення конфіденційності — це коли користувач системи бачить не свої інформаційні дані, інша компанія-користувач отримує чужий документ, менеджер бачить фінансову інформацію без права або API повертає зайві поля. У K2 ERP кібербезпека виступає як частиною фундаменту: платформа функціонує з обліком, документами, товарами, CRM, файлами, звітами, компаніями, ролями, API та інтеграціями. Авторизація має перевіряти:

Cybersecurity і файли

Це так само відмова від старої культури:

Backup і відновлення. У бізнес-системах часто найслабшою ланкою виступає як не «хакер у капюшоні», а звичайна ситуація: один пароль для всіх, відкритий доступ, відсутній backup і посилання з листа, яке хтось натиснув «бо схоже на рахунок». # Захищати cookies через Secure, HttpOnly, SameSite. |-

Що таке MFA? Приклади ризиків:

Рекомендації для бізнесу

оновлення версій потрібно тестувати, але відкладати критичні security patches надовго небезпечно. як приклад:

Застереження. Якщо лист або повідомлення змушує діяти терміново, лякає блокуванням, просить пароль або веде на дивну адресу — зупиніться й перевірте. Наслідки можуть бути серйозними:

Основні загрози

Безпечна сесія має:

всіх: держави забезпечується через Кібербезпека важлива; так само реалізовано бізнесу, ФОП, бухгалтерів, розробників, адміністраторів, користувачів хмарних сервісів, інтернет-магазинів, ERP, CRM, банківських систем, пошти, мобільних застосунків і цифрових платформ. Основні принципи:

Основні кроки:

Логи допомагають:

Backup або резервне копіювання — ключова частина кібербезпеки. # Не зберігати паролі у відкритому вигляді.== Patch Management ==

API security і HTTPS.== Backup ==

Cybersecurity і цифрова незалежність України

Backup потрібен для відновлення після:

  • перевіряти автентифікацію;
  • перевіряти авторизацію;
  • валідовувати інформаційні дані;
  • захищати API;
  • працювати через HTTPS;
  • не логувати секрети;
  • опрацьовувати помилки без витоку деталей;
  • перевіряти права на кожну критичну дію;
  • захищати файли;
  • використовувати транзакції;
  • обмежувати небезпечні операції;
  • контролювати інтеграції. {| class="wikitable" style="width:100%;"

Користувачі — важлива частина безпеки. Для сучасного бізнесу кібербезпека виступає як не додатковою опцією, а базовою умовою роботи. # Писати security-тести. Захист:

  • технічні засоби;
  • правила доступу;
  • навчання користувачів;
  • резервне копіювання;
  • моніторинг;
  • оновлення версій;
  • захист серверів;
  • захист API;
  • захист баз даних;
  • контроль ролей;
  • шифрування;
  • журналювання;
  • реагування на інциденти;
  • перевірку коду;
  • тестування;
  • культуру роботи з даними. # Виходити із системи на спільних пристроях. # Перевіряти адресу сайту перед входом.== Доступність ==

Cybersecurity у K2 ERP

Code review і testing. |-

Чому backup важливий?

Incident Response — бізнес-процес реагування на інцидент кібербезпеки. Для бізнес-систем потрібно: Для кожної операції потрібно перевіряти:

Один логін на всіх Неможливо зрозуміти, хто що зробив Індивідуальні облікові записи
Слабкі паролі Ризик несанкціонованого входу Унікальні складні паролі та MFA
Немає backup Ризик втрати даних Регулярні перевірені резервні копії
Права адміністратора всім Будь-хто здатна зламати обліковий облік Принцип найменших привілеїв
Немає audit log Неможливо розслідувати зміни Журналювати критичні дії
Незахищене API Ризик витоку або зміни даних Токени, ролі, rate limiting, logs
Секрети в коді Ризик витоку ключів Використовувати secret management
Немає оновлень Відомі вразливості залишаються Patch management
Відкриті сесії на чужих ПК Сторонній доступ до системи Виходити із системи після роботи
Немає навчання користувачів Фішинг і помилки Регулярна безпекова гігієна

MFA або багатофакторна автентифікація — додатковий рівень захисту входу.== Cybersecurity в ERP ==

Frontend Security

Кібербезпека — це не одна програма, не одна кнопка й не один адміністратор, який «там щось налаштував». Інтеграції створюють додаткові точки доступу. DevOps без безпеки — це швидкий шлях не лише до релізу, а й до інциденту. Відповідь

!== SQL Injection ==

Для бізнесу cybersecurity — це не «тема для айтішників». # Не ігнорувати оновлення версій безпеки. Фішинг здатна приходити через: Для бізнесу кібербезпека означає, що документи, клієнти, товари, звіти, файли, доступи й облікові записи мають бути захищені від випадкових помилок, втрати, витоку, зловживань і атак. У найпростішому сенсі cybersecurity відповідає на питання:

  • мінімально необхідні права;
  • окремі облікові записи;
  • ролі;
  • групи;
  • audit log;
  • регулярний перегляд доступів;
  • відкликання доступу після звільнення;
  • окремі права адміністратора;
  • контроль API-токенів;
  • заборона спільних логінів. Для K2 ERP. У K2 ERP кібербезпека має охоплювати автентифікацію, авторизацію, ролі, компанії, API, файли, cookies, HTTPS, backup, аудит, логи, інтеграції, хмарну інфраструктуру та відповідальну роботу користувачів. | Він дає можливість відновити інформаційні дані після помилки, збою, атаки або ransomware. Але логи не мають містити паролі, токени, секретні ключі або зайві персональні інформаційні дані. через Code Review користувачі можуть знаходити проблеми безпеки до релізу. Під час review варто перевіряти:
  • клієнтів;
  • постачальників;
  • договорів;
  • цін;
  • оплат;
  • фінансових звітів;
  • файлів;
  • персональних даних;
  • компаній;
  • користувацьких ролей;
  • API-даних;
  • інтеграцій.== Least Privilege ==

Vulnerability management — бізнес-процес роботи з вразливостями. # Налаштувати backup і перевіряти відновлення.== Audit Log == Деколонізація через безпеку. Українська ERP має перемагати не лише функціями, а й культурою кібербезпеки: доступи, ролі, backup, audit log, API security, monitoring і відповідальність за інформаційні дані.== Суть поняття ==

хмарна інфраструктура K2 ERP доступна за адресою:

Тести можуть перевіряти:

Нова культура:

  • розслідувати інциденти;
  • знаходити баги;
  • бачити входи користувачів;
  • аналізувати API-запити;
  • фіксувати помилки;
  • контролювати інтеграції;
  • виявляти підозрілу активність;
  • перевіряти виконання задач. * один пароль для всіх сервісів;
  • пароль на стікері;
  • пароль у чаті;
  • пароль у назві файлу;
  • спільний логін для всіх працівників;
  • прості паролі;
  • повторне використання паролів;
  • передавання пароля колезі. ! |-

| Confidentiality | Конфіденційність | користувач системи бачить лише ті документи й компанії, до яких має доступ |- | Integrity | Цілісність | інформаційні дані не змінюються несанкціоновано або непомітно |- | Availability | Доступність | платформа функціонує й доступна користувачам тоді, коли потрібна |}

! Не відкладайте безпеку “на потім”. У бізнес-системах “потім” часто настає після інциденту. Це платформа захисту.== Access Control ==

Класично кібербезпека має три головні цілі:

Доступність означає, що платформа функціонує тоді, коли вона потрібна. Безпека backend охоплює серверну логіку системи. Це зупинка процесів, ризик помилок, репутаційні втрати й іноді прямі фінансові наслідки. Паніка — улюблена кнопка соціальної інженерії. # Тестувати multi-company isolation. Критично. Backup, який не перевіряли на відновлення, — це не гарантія, а надія.== XSS ==

Ransomware — шкідливе ПЗ, яке блокує або шифрує інформаційні дані й вимагає викуп. Backend — це місце, де безпека має бути реальною, а не намальованою кнопками у frontend. XSS або Cross-Site Scripting — тип вразливості, коли шкідливий скрипт виконується в браузері користувача. Усе критичне має перевірятися на backend. # Валідовувати вхідні інформаційні дані. * унікальні паролі;

  • MFA;
  • backup;
  • обережність із листами;
  • окремий обліковий запис;
  • сучасний браузер;
  • захищена ERP;
  • вихід із системи на чужих пристроях;
  • обмеження доступів помічникам.== Session Security ==

Захист:

У K2 ERP cybersecurity має охоплювати всі рівні платформи:

Vulnerability Management

  • пароль передали в чаті;
  • сесію залишили на чужому ПК;
  • відкрили підозрілий файл;
  • натиснули фішингове посилання;
  • дали всім права адміністратора;
  • не заблокували колишнього працівника;
  • не зробили backup;
  • працюють під одним спільним логіном. * хто користувач системи;
  • чи має право створювати;
  • чи має право читати;
  • чи має право оновлювати;
  • чи має право видаляти;
  • чи належить запис його компанії;
  • чи дія журналюється;
  • чи виступає як валідація;
  • чи не порушує дія бізнес-правила.Цифрова незалежність України неможлива без кібербезпеки. Навіть сильна платформа здатна постраждати, якщо:

Ролі й права. «Як зробити так, щоб інформаційні дані, доступи, документи, гроші, бізнес-середовище і платформа не стали здобиччю хаосу, помилок або зловмисників?» Без моніторингу проблему часто першими помічають користувачі.

  • регулярні backup;
  • перевірка відновлення;
  • обмеження прав;
  • сегментація мережі;
  • оновлення версій;
  • обережність із вкладеннями;
  • моніторинг;
  • MFA;
  • навчання персоналу;
  • план реагування. # Увімкнути MFA, якщо доступно. |-

| Що таке least privilege? SQL injection — вразливість, за якої небезпечні інформаційні дані вводяться в SQL-запит і можуть змінити його логіку. # Не зберігати конфіденційні інформаційні дані в незахищених файлах. Для ERP, пошти, банків, адміністраторів і критичних облікових записів MFA виступає як дуже бажаною практикою. Disaster Recovery — план відновлення після серйозної аварії. Він має відповідати на питання:

K2 ERP у цьому сенсі виступає як частиною цифрової незалежності: українська ERP-платформа має допомагати бізнесу працювати сучасно, захищено й без залежності від старих російських продуктів. Писати його під час пожежі — це вже не планування, а імпровізація. | Багатофакторна автентифікація, додатковий рівень захисту входу. * викрадення сесій;

  • підміна інтерфейсу;
  • виконання дій від імені користувача;
  • отримання даних зі сторінки;
  • порушення довіри до системи. | Безпечні українські ERP, хмари, API й бізнес-системи виступає як частиною незалежної цифрової інфраструктури України. Patch management — керування оновленнями й виправленнями.

Цілісність забезпечується транзакціями, правами доступу, audit log, валідацією, backup, тестами, code review і якісною архітектурою. |- | Як cybersecurity пов’язана з K2 ERP? # Переходити на сучасні українські системи. # Захищати інтеграції. # Використовувати ролі. # Не працювати під чужим обліковим записом.== Logging ==

Cybersecurity і CPU

Навіть якщо користувач системи успішно увійшов у систему, він не повинен автоматизовано мати доступ до всього.

  • користувач системи без прав не бачить інформаційні дані;
  • API не дає можливість чужий company_id;
  • Delete заборонений для ролі без прав;
  • session cookie має правильні прапорці;
  • CSRF-захист функціонує;
  • XSS не виконується;
  • файл небезпечного типу не приймається;
  • rate limiting функціонує;
  • після logout сесія недійсна. Моніторинг має охоплювати:

користувач системи має отримувати лише ті права, які потрібні для його роботи.== Типові помилки кібербезпеки ==

DevOps відповідає за безпеку інфраструктури й процесів.== Testing і кібербезпека ==

Кібербезпека і бізнес-середовище

Frontend має:

Мінімум для ФОП:

  • що робити при збої;
  • хто відповідальний;
  • де backup;
  • як відновити базу;
  • як відновити файли;
  • як повідомити користувачів;
  • скільки часу допустима зупинка;
  • які інформаційні дані можуть бути втрачені;
  • як перевіряється план;
  • як запустити систему на резервній інфраструктурі.

Ризики XSS:

  • українські ERP;
  • захищені хмари;
  • власні API;
  • контроль даних;
  • backup;
  • DevOps;
  • security culture;
  • захист облікових записів;
  • аудит;
  • незалежність від небезпечних екосистем;
  • дорожня карта розвитку українського ПЗ. https://cloud.corp2.eu

Сесійна cookie здатна бути ключем до облікового запису. В ERP кібербезпека особливо важлива, бо ERP виступає як центром бізнес-даних. * доступність сервісів;

  • CPU;
  • RAM;
  • диск;
  • базу даних;
  • API;
  • помилки;
  • черги;
  • backup;
  • інтеграції;
  • час відповіді;
  • підозрілу активність;
  • невдалі входи;
  • security alerts.== Основні цілі кібербезпеки ==

HTTPS — захищений протокол передавання даних між браузером і сервером. Конфіденційність означає, що інформацію бачать лише ті, хто має право її бачити. # контролювати file uploads. | Принцип найменших привілеїв: користувач системи має лише потрібні для роботи права.== Authorization ==

SEO title: Cybersecurity — кібербезпека, захист даних, ERP, хмари та K2 ERP

SEO keywords: cybersecurity, кібербезпека, інформаційна безпека, захист даних, ERP, K2 ERP, authentication, authorization, API, backend, cloud computing, cookie, encryption, backup, українське програмне забезпечення, цифрова незалежність України 

</noinclude>
 {{SEO
Шаблон для службового SEO-опису сторінки.

}}


  • API-токени;
  • ключі;
  • webhooks;
  • IP-обмеження;
  • права інтеграцій;
  • журнали обміну;
  • retry-логіку;
  • формати даних;
  • помилки;
  • rate limiting;
  • відкликання доступу. Безпечні cookies мають застосовувати:
  • роль;
  • компанію;
  • компонент;
  • документ;
  • дію;
  • складський облік;
  • звіт;
  • файл;
  • API endpoint;
  • адміністративну функцію. У хмарних ERP критично регулярно оновлювати залежності, сервери, бібліотеки, frontend-пакети, backend-компоненти та DevOps-інструменти. # Оновлювати залежності. «Хто ви?»

Українські компанії мають не лише відмовлятися від російських і застарілих систем, а й будувати власну безпечну цифрову інфраструктуру. ! # Перевіряти права на рівні компанії. Окремо варто відзначити процесів, правил, практик і відповідальності, спрямованих на захист цифрових систем, даних, мереж, серверів, користувачів, облікових записів, backend, frontend, API, хмарної інфраструктури, ERP, CRM і бізнес-процесів від несанкціонованого доступу, втрати, пошкодження, зловживань і кібератак виступає ключовою рисою Cybersecurity або кібербезпека. * операційної системи;

  • backend;
  • frontend;
  • бази даних;
  • бібліотек;
  • Docker images;
  • серверів;
  • мобільних застосунків;
  • десктопних клієнтів;
  • API;
  • DevOps;
  • security fixes. # Не логувати токени й секрети. Тому її потрібно захищати так само серйозно, як пароль або токен. # Використовувати backup. API потрібно захищати від:
  • Secure;
  • HttpOnly;
  • SameSite;
  • обмежений строк дії;
  • session rotation;
  • logout;
  • захист від CSRF;
  • захист від XSS;
  • контроль сесій. # Заблоковувати доступи колишніх працівників. Безпека має захищати роботу, а не перетворювати її на музей із зачиненими дверима. * CSRF tokens;
  • SameSite cookies;
  • перевірка Origin;
  • перевірка Referer;
  • правильні HTTP-методи;
  • додаткове підтвердження критичних дій. Бо перехід від старих залежностей, 1С, BAS, спільних паролів і хаотичних локальних баз до української хмарної ERP має означати не лише нову програму, а й нову культуру захисту даних. сукупність технологій. # Захищати файли. # Не передавати паролі в чатах.
  • хто створив документ;
  • хто змінив документ;
  • хто видалив або архівував запис;
  • хто змінив роль;
  • хто відкрив критичний звіт;
  • хто експортував інформаційні дані;
  • хто змінив інтеграцію;
  • хто увійшов у систему;
  • хто завершив сесію;
  • з якого IP або пристрою була дія.

Це паролі й MFA. У бізнес-системі це стосується:

Cybersecurity і ФОП

  • не зберігати секрети в коді;
  • контролювати доступи до серверів;
  • використовувати SSH-ключі;
  • оновлювати системи;
  • захищати CI/CD;
  • перевіряти Docker images;
  • мати backup;
  • мати monitoring;
  • розділяти test/staging/production;
  • обмежувати production-доступ;
  • логувати адміністративні дії;
  • контролювати deployment. Вона містить:

Але frontend не здатна бути єдиним бар’єром.== Фішинг ==

MFA значно зменшує ризик доступу через викрадений пароль. Backend має:

  • файлові ключі;
  • паролі до ключів;
  • токени;
  • носії;
  • доступ до комп’ютера;
  • права користувачів;
  • резервні копії;
  • правила використання. * документ змінили без журналу;
  • залишки порахувалися неправильно;
  • файл пошкодився;
  • звіт показує некоректну суму;
  • інтеграційні функції ERP дублювала замовлення;
  • користувач системи оновив чужий запис;
  • база даних має частково збережені інформаційні дані;
  • import перезаписав правильні значення. * пошук вразливостей;
  • оцінку ризику;
  • пріоритезацію;
  • оновлення версій залежностей;
  • виправлення коду;
  • перевірку конфігурацій;
  • тестування;
  • контроль повторення;
  • документацію. # Вести audit log. Ціль

Атаки на доступність можуть перевантажувати CPU.CPU так само пов’язаний із cybersecurity. # Використовувати сучасний браузер. Як краще

Cookies можуть бути важливою частиною безпеки сесій. Вона дає інструменти, але відповідальність за конфігурація, код, доступи й процеси залишається. | K2 ERP має захищати користувачів, компанії, документи, файли, API, ролі, інтеграції, хмару й інформаційні дані бізнесу. # Захищати API. CPU застосовується для для:

Malware

Testing має включати security-сценарії. |- | Як це пов’язано з цифровою незалежністю України?

Ризики:

Cybersecurity і Cloud Computing

У cybersecurity автентифікація містить:

  • грошей;
  • клієнтської бази;
  • документів;
  • договорів;
  • складу;
  • звітності;
  • комерційної таємниці;
  • персональних даних;
  • репутації;
  • доступу до систем;
  • безперервності роботи;
  • управлінських рішень. користувач системи однієї компанії не має бачити інформаційні дані іншої, якщо йому це не дозволено. Усе це має бути захищено, контрольовано й доступно для українського бізнесу.== Коротко ==

До типових кіберзагроз належать:

Джерела

Захист:

  • документи;
  • клієнтів;
  • товари;
  • склади;
  • ціни;
  • договори;
  • файли;
  • звіти;
  • користувачів;
  • ролі;
  • фінансові інформаційні дані;
  • інтеграції;
  • історію змін. Без тестів помилки безпеки можуть повертатися після оновлень.== Code Review і кібербезпека ==

Для бізнесу це одна з найнебезпечніших загроз. Головне. Cybersecurity — це захист цифрових систем, даних, користувачів, доступів, API, серверів, хмари, ERP, CRM і бізнес-процесів.Authentication або автентифікація відповідає на питання:

Захист:

Для K2 ERP інтеграції з РРО/ПРРО, ДПС, Вчасно, Медком, інтернет-магазинами й іншими сервісами мають бути не лише зручними, а й безпечними. Потрібно берегти:

У контексті K2 ERP кібербезпека виступає як основою довіри до української ERP-платформи: платформа функціонує з компаніями, товарами, документами, первинкою, CRM, файлами, звітами, ролями, користувачами, API, інтеграціями, РРО/ПРРО та хмарною інфраструктурою. Malware або шкідливе програмне забезпечення (ПЗ) — програми, які завдають шкоди системі або даним. Тому API має бути захищеним, контрольованим і журналювати критичні події. Кібербезпека — це так само частина деколонізації обліку. Це інтуїтивно рівно до моменту першого інциденту. Тому важливі rate limiting, черги, кешування, моніторинг і масштабування. CRUD без cybersecurity — це база даних із дверима навстіж. # Розділити ролі й права доступу. Захист:

Cookies і сесії. Він містить:

ERP містить:

  • не зберігати секрети без потреби;
  • не довіряти введеним даним;
  • правильно працювати з cookies;
  • захищатися від XSS;
  • не показувати зайві інформаційні дані;
  • не розкривати внутрішні помилки;
  • коректно опрацьовувати logout;
  • не покладатися лише на приховані кнопки;
  • передавати запити через HTTPS;
  • працювати з CSRF-захистом.
  • email;
  • месенджер;
  • SMS;
  • підроблений сайт;
  • підроблений документ;
  • псевдоповідомлення від банку;
  • псевдоповідомлення від державного сервісу;
  • підроблений запит від керівника;
  • фальшиве посилання на хмарний документ.== Паролі ==

Електронний підпис виступає як важливим інструментом цифрового бізнесу.== Конфіденційність ==

  • екранування виводу;
  • Content Security Policy;
  • HttpOnly cookies;
  • валідація даних;
  • уникнення небезпечного HTML;
  • оновлення версій залежностей;
  • code review;
  • тестування безпеки.== Cybersecurity і користувачі ==
  • регулярним;
  • автоматизованим;
  • захищеним;
  • перевіреним;
  • відновлюваним;
  • ізольованим;
  • з контрольованим строком зберігання. * перевіряти адресу сайту;
  • не вводити пароль за підозрілим посиланням;
  • використовувати MFA;
  • навчати користувачів;
  • не відкривати сумнівні вкладення;
  • мати окремі облікові записи;
  • не передавати коди підтвердження. # Не дозволяти frontend бути єдиним захистом.== Cybersecurity і DevOps ==
  1. Захищати всі CRUD-операції. Для ERP цілісність критична. ! * створюватися після успішного входу;
  • мати строк дії;
  • оновлюватися контрольовано;
  • завершуватися після logout;
  • відкликатися після зміни пароля;
  • бути захищеною від викрадення;
  • бути прив’язаною до політик безпеки;
  • журналювати критичні події. CSRF або Cross-Site Request Forgery — атака, коли сторонній сайт намагається змусити браузер користувача виконати небажаний запит до системи, де користувач системи уже авторизований.

Навіть малий бізнес-середовище має інформаційні дані, які потрібно захищати. Тільки в цифровому світі дверей більше, ключі складніші, а «я без зусиль відкрив посилання» іноді звучить як початок пригодницького роману. # контролювати експорт даних. ! |- | Яка типова помилка бізнесу? Це захист:

Шифрування застосовується для для:

Principle of Least Privilege — принцип найменших привілеїв. # Захищати API та інтеграції. У хмарних системах cybersecurity охоплює: Безпека API виступає як критичною для хмарних систем. * читання даних;

  • зміна даних;
  • видалення записів;
  • обхід авторизації;
  • пошкодження бази;
  • витік конфіденційної інформації. Погані практики:
  1. Впровадити індивідуальні облікові записи. Краще налаштувати доступи, backup, MFA, ролі й журнали до того, як вони стануть терміново потрібними. Encryption або шифрування — перетворення даних так, щоб без ключа їх не можна було прочитати. # Не зберігати секрети в репозиторії. * унікальні паролі;
  • менеджер паролів;
  • MFA;
  • регулярний перегляд доступів;
  • заборона спільних облікових записів;
  • блокування колишніх працівників;
  • контроль адміністративних доступів. |-

| Як це українською? # Використовувати MFA для критичних ролей. # Регулярно переглядати доступи. Наслідок

  • обліковий облік;
  • товари;
  • клієнтів;
  • документи;
  • файли;
  • звіти;
  • банківські доступи;
  • податкові кабінети;
  • пошту;
  • інтернет-магазин;
  • РРО/ПРРО;
  • електронний підпис. Пояснення

Audit log оптимізує відповідати на питання: «хто, коли, що і чому змінив?»

  • менеджер бачить клієнтів і продажі та реалізація, але не всі фінансові звіти;
  • складський облік бачить товари й залишки, але не конфігурація компанії;
  • бухгалтер має доступ до первинки й звітів;
  • адміністратор має технічні права, але їх потрібно контролювати;
  • зовнішня інтеграційні функції ERP має доступ лише до потрібного API. У K2 ERP можливість прикріплювати файли до сутностей корисна, але файли мають бути захищені так само, як і записи бази даних. Це юридично значущий інструмент. # Повідомляти про підозрілу активність. # Обмежувати Delete.== Backend Security ==

У ERP backup має охоплювати базу даних, файли, конфігурації, інтеграції та критичні конфігурація. # Вести журнал змін. критично: паролі не мають зберігатися у відкритому вигляді. * HTTPS;

  • паролів;
  • токенів;
  • backup;
  • файлів;
  • баз даних;
  • API;
  • електронного підпису;
  • сесій;
  • збереження секретів. # Навчати працівників фішинговій безпеці. | Захист цифрових систем, даних, мереж, користувачів, API, серверів, хмари та бізнес-процесів. Паролі залишаються одним із головних елементів кібербезпеки. Файли в бізнес-системах можуть бути небезпечними або чутливими. Слабкі паролі, спільні логіни, відкриті сесії, відсутність backup, погані права доступу, незахищене API й хаотичні процеси можуть бути небезпечнішими за вірус із кінофільму. * окремі облікові записи;
  • ролі;
  • MFA;
  • audit log;
  • backup;
  • хмарна ERP;
  • API з доступами;
  • контроль інтеграцій;
  • code review;
  • testing;
  • відповідальність за інформаційні дані.CRUD-операції мають бути захищені. # Не тримати критичний обліковий облік у хаотичних Excel-файлах. Monitoring — спостереження за станом системи. |}

Для хмарної ERP важливі:

Рекомендації для розробників

Ransomware

«Що вам дозволено?» Для ERP audit log здатна фіксувати: Цілісність означає, що інформаційні дані правильні, не пошкоджені й не змінені без дозволу. Якщо платформа захищена, але недоступна, бізнес-середовище усе одно не здатна працювати. користувач системи підтверджує вхід не лише паролем, а й другим фактором:

Патчі можуть стосуватися:

  • Secure;
  • HttpOnly;
  • SameSite;
  • обмежений строк дії;
  • правильний domain;
  • правильний path;
  • очищення після logout;
  • захист від session fixation. ФОП здатна мати:

Cookies часто використовуються для сесій.

  • параметризовані запити;
  • ORM з правильним використанням;
  • валідація даних;
  • мінімальні права бази;
  • code review;
  • тестування;
  • журналювання підозрілих запитів. Для хмарної ERP HTTPS виступає як обов’язковим. Цей принцип зменшує шкоду від помилок, зловживань або викрадених облікових записів.
  • помилкового видалення;
  • атаки;
  • ransomware;
  • збою сервера;
  • пошкодження бази;
  • помилки оновлення версій;
  • людського фактора;
  • аварії інфраструктури. {| class="wikitable" style="width:100%;"
  • облікові записи;
  • сервери;
  • мережі;
  • бази даних;
  • API;
  • storage;
  • backup;
  • monitoring;
  • DevOps;
  • secrets;
  • certificates;
  • containers;
  • deployment;
  • access control;
  • logging;
  • incident response. # Моніторити підозрілу активність. * викрадення даних;
  • блокування файлів;
  • шпигування;
  • зміна налаштувань;
  • крадіжка паролів;
  • зараження мережі;
  • пошкодження системи. Якщо платформа просить пароль без HTTPS, це має викликати серйозні питання. | ERP містить критичні бізнес-дані: документи, клієнтів, товари, звіти, файли, ролі й інтеграції. # Документувати security-рішення.== Cybersecurity і CRUD ==
  1. Перевіряти authorization на backend. Після інциденту критично не без зусиль «підняти систему», а зрозуміти, чому це сталося.== CSRF ==
  1. виявити інцидент;
  2. обмежити вплив;
  3. зберегти докази;
  4. усунути причину;
  5. відновити роботу;
  6. перевірити інформаційні дані;
  7. повідомити відповідальних;
  8. зробити висновки;
  9. оновити правила;
  10. запобігти повторенню. # Планувати incident response. Для ERP CSRF особливо небезпечний у діях зміни даних: Update, Delete, проведення документів, зміна ролей, конфігурація інтеграцій. * користувачі;
  • ролі;
  • компанії;
  • документи;
  • CRM;
  • товари;
  • файли;
  • звіти;
  • API;
  • хмарна інфраструктура;
  • мобільні застосунки;
  • десктопні клієнти;
  • інтеграції;
  • РРО/ПРРО;
  • ДПС, Вчасно, Медком;
  • інтернет-магазини;
  • backend;
  • frontend;
  • база даних;
  • DevOps;
  • backup;
  • audit log. # Використовувати унікальні паролі. | Конфіденційність, цілісність і доступність. Проста аналогія. Кібербезпека — це як замки, сигналізація, ключі, сейф, журнал відвідувачів і правила роботи з документами. Audit log і monitoring.== Cookie Security ==

Authorization або авторизація відповідає на питання:

  • спільні паролі;
  • локальна база без backup;
  • незрозумілі доробки;
  • доступи «на всіх»;
  • відсутність журналу змін;
  • файли в хаотичних папках;
  • невідомо хто що змінив;
  • страх оновлень;
  • залежність від одного «програміста, який знає». # Додавати rate limiting. У ERP SQL injection здатна бути критичним, бо база даних містить документи, клієнтів, товари, звіти й фінансову інформацію. У бізнесі небезпечно давати всім усе «щоб не заважати працювати». Питання

Потрібно захищати:

  • інформаційні дані компаній мають бути захищені;
  • документи й звіти мають бути коректними;
  • хмарна інфраструктура має бути доступною для роботи.

Правильний підхід. Кібербезпека має бути вбудована в систему: authentication, authorization, API security, backup, audit log, monitoring, secure coding, testing, DevOps і навчання користувачів. Електронний підпис не можна передавати всім підряд.== Monitoring ==

Disaster Recovery

Фішинг — спроба обманом змусити користувача передати логін, пароль, код, токен або іншу чутливу інформацію. # Підтримувати audit log. Якщо бізнес-середовище втрачає доступ до обліку, файлів, пошти, CRM або ERP, це не без зусиль технічна проблема. ! |- | Чому кібербезпека важлива для ERP? DevOps і cloud security. Критично. Незахищене API в ERP — це не технічна дрібниця, а потенційний прямий доступ до бізнес-даних. Кібербезпека — це командна гра.== Висновок ==

Для ФОП кібербезпека так само важлива. # Не вводити пароль після переходу за сумнівним посиланням. ERP із одним логіном на весь офіс — це не командна робота, а майбутній квест «хто змінив документ?». * шифрування;

  • хешування;
  • TLS;
  • перевірки токенів;
  • антивірусної перевірки;
  • обробки логів;
  • security scanning;
  • моніторингу;
  • захисту від перевантаження.== Рекомендації для ERP ==

Logging або журналювання — запис подій системи. # Робити code review із фокусом на безпеку. Для них використовують спеціальні механізми хешування з сіллю й адаптивними алгоритмами.== Див. так само ==

Зовнішні посилання

Цілісність

Деколонізація обліку — це не лише відмова від 1С та BAS.

Потрібно контролювати:

|- | Що таке Cybersecurity? * неавторизованих запитів;

  • витоку даних;
  • надмірних прав;
  • brute-force;
  • підроблених токенів;
  • SQL injection;
  • масового вивантаження даних;
  • відсутності rate limiting;
  • помилок CORS;
  • неправильних статусів;
  • небезпечних файлів;
  • незахищених інтеграцій. | Один пароль на всіх, відсутність backup, надмірні права й відсутність audit log.== MFA ==
  • оновлення версій систем;
  • антивірусні рішення для бізнесу;
  • обережність із вкладеннями;
  • обмеження прав;
  • backup;
  • навчання користувачів;
  • контроль завантажених файлів;
  • журналювання. У multi-company ERP авторизація критично важлива. Оскільки платформа функціонує з обліком і бізнес-даними, безпека має бути вбудованою в архітектуру, а не прикрученою «потім». Для K2 ERP це означає:

Застереження. Кібербезпека не зводиться до «поставити антивірус». Access Control — керування доступом до систем, даних і функцій. |- | Які головні цілі кібербезпеки? хмарна інфраструктура не робить систему автоматизовано безпечною. План відновлення потрібно мати до інциденту. Приклад для ERP

Cybersecurity і електронний підпис

Добрий backup має бути:

  • логін;
  • пароль;
  • MFA;
  • сесію;
  • токен;
  • сертифікат;
  • SSO;
  • cookie;
  • перевірку пристрою;
  • обмеження спроб входу. # Забезпечити безпечний logout. Ці три принципи часто називають CIA triad. | Кібербезпека.== Cybersecurity і Cookie ==
  • тип файлу;
  • розмір;
  • доступ;
  • завантаження;
  • перегляд;
  • зберігання;
  • антивірусну перевірку;
  • зв’язок із документом;
  • права на скачування;
  • журнал доступу.== HTTPS ==

Він потрібен для захисту:

Cybersecurity і інтеграції

  • authorization;
  • authentication;
  • input validation;
  • API access;
  • SQL injection;
  • XSS;
  • CSRF;
  • logging secrets;
  • file uploads;
  • cache security;
  • cookie flags;
  • error handling;
  • role checks;
  • tenant isolation. Якщо один гравець відкрив ворота, воротар уже не чарівник.

Frontend так само важливий для безпеки. Сесія — це стан входу користувача в систему. Навчання користувачів і здоровий глузд.

Отримано з https://wiki.kyiv.ua/index.php?title=Cybersecurity&oldid=1409