Безопасность CRM: что проверить, чтобы избежать утечек данных и штрафов

Представьте ситуацию. Руководитель отдела продаж увольняется, а через несколько дней выясняется, что вместе с ним ушла вся клиентская база. Или компания получает уведомление о проверке после утечки персональных данных клиентов.

Многие предприниматели считают такие ситуации чем-то маловероятным. На практике же большинство инцидентов происходит не из-за сложных хакерских атак, а из-за обычных ошибок внутри компании: неправильно настроенных прав доступа, передачи паролей сотрудникам или отсутствия контроля над учетными записями.

Сегодня CRM-система — это не просто инструмент для работы отдела продаж. В ней хранится клиентская база, история переговоров, телефоны, адреса электронной почты, договоры, счета и другие сведения, которые относятся к персональным данным.

С точки зрения законодательства компания становится оператором персональных данных и обязана обеспечивать их безопасность.

При этом многие руководители до сих пор воспринимают вопросы защиты данных как проблему крупных корпораций. Однако законодательство становится все строже, а ответственность за нарушения - серьезнее.

С 2025 года в России значительно увеличены штрафы за нарушения в сфере персональных данных. Для организаций штраф за утечку может составить от 3 до 5 миллионов рублей уже при первом нарушении, а в случае массовой утечки - до 15 миллионов рублей. Для повторных нарушений предусмотрены оборотные штрафы, размер которых зависит от выручки компании.

Кроме административной ответственности появилась и уголовная. Закон предусматривает наказание за незаконное использование, хранение, передачу и распространение персональных данных. В наиболее серьезных случаях санкции могут включать лишение свободы сроком до 10 лет.

Хорошая новость заключается в том, что большинство рисков можно существенно снизить с помощью нескольких простых правил.

Одна из самых распространенных ошибок - регистрация CRM на личную почту руководителя или сотрудника, который занимался внедрением системы.

Проблемы начинаются после увольнения такого сотрудника, потери доступа к почте или банального забывания пароля.

Такой подход позволяет сохранить полный контроль над системой независимо от кадровых изменений внутри компании.

Даже самый надежный пароль нельзя считать абсолютной защитой.

Пароль может попасть к злоумышленникам через фишинговые сайты, вредоносные программы или утечки данных из сторонних сервисов.

Двухфакторная аутентификация требует дополнительного подтверждения входа через смартфон или специальное приложение. Это значительно снижает риск несанкционированного доступа к системе и считается одним из самых эффективных способов защиты учетных записей.

Каждый сотрудник должен иметь доступ только к той информации, которая необходима ему для выполнения своих обязанностей.

Менеджеру по продажам не обязательно видеть всю клиентскую базу компании. Маркетологу не нужны административные настройки. А рядовым сотрудникам зачастую вовсе не требуется доступ к большинству разделов CRM.

Чем меньше лишних прав в системе, тем ниже вероятность ошибок, утечек данных и злоупотреблений.

Во многих компаниях административные права получают руководители отделов, маркетологи, менеджеры или внешние подрядчики.

Как правило, это делается для удобства. Однако каждый дополнительный администратор увеличивает потенциальные риски.

Права администратора должны быть только у сотрудника, который отвечает за сопровождение и развитие системы. В отдельных случаях такой доступ может иметь собственник бизнеса.

Если сотрудник совмещает несколько ролей, например является руководителем отдела продаж и одновременно администратором CRM, рекомендуется использовать две отдельные учетные записи:

● рабочую для ежедневной деятельности;

● административную для настройки системы.

Это позволяет разделить рабочие и административные действия и обеспечивает дополнительный контроль.

Использование личных адресов электронной почты создает дополнительные риски для бизнеса.

После увольнения сотрудника компания должна иметь возможность оперативно отключить его доступ ко всем корпоративным сервисам.

Корпоративная почта позволяет централизованно управлять учетными записями и сохранять контроль над доступом к CRM-системе.

Несмотря на очевидность этого правила, во многих компаниях сотрудники продолжают использовать общие учетные записи или передавать друг другу данные для входа.

В результате становится невозможно определить, кто именно внес изменения в систему, удалил информацию или выгрузил клиентскую базу.

Каждый сотрудник должен работать исключительно под своей учетной записью.

Доступ к CRM должен блокироваться в день увольнения сотрудника.

Даже если между компанией и сотрудником сохранились хорошие отношения, откладывать отключение доступа не стоит.

Любая активная учетная запись бывшего сотрудника - это потенциальный риск для бизнеса.

Особенно если человек работал с клиентской базой, коммерческими предложениями или финансовой информацией.

Со временем практически в любой компании появляются временные исключения из правил.

Кому-то выдали дополнительные права для решения срочной задачи. Кого-то назначили администратором на период проекта. О каком-то доступе просто забыли после перевода сотрудника на новую должность.

Поэтому рекомендуется не реже одного раза в квартал проводить проверку:

● списка администраторов;

● ролей и прав сотрудников;

● неиспользуемых учетных записей;

● доступов внешних подрядчиков.

Такая процедура занимает минимум времени, но позволяет вовремя обнаружить потенциальные угрозы.

Для внедрения, настройки и сопровождения CRM многие компании привлекают внешних специалистов. При этом подрядчик может получать доступ к настройкам системы, бизнес-процессам, клиентской базе и другой конфиденциальной информации.

Поэтому при выборе исполнителя важно обращать внимание не только на стоимость услуг, но и на его статус и компетенции.

При выборе подрядчика для внедрения или сопровождения CRM стоит отдавать предпочтение компаниям, которые являются официальными партнерами разработчика системы. Как правило, такие специалисты проходят обучение, подтверждают свою квалификацию и имеют опыт работы с продуктом.

Отдельное внимание следует уделить вопросам конфиденциальности. В договоре на внедрение или техническую поддержку должен присутствовать раздел о неразглашении информации либо отдельное соглашение NDA.

Подрядчик получает доступ к данным клиентов и внутренним процессам компании, поэтому ответственность за сохранность этой информации должна быть закреплена документально.

Проверка квалификации подрядчика и наличие соглашения о конфиденциальности помогают снизить риски утечки данных и обеспечивают дополнительную защиту бизнеса.

Каждое установленное приложение получает определенный уровень доступа к данным компании.

Перед установкой новой интеграции важно понимать:

● кто является разработчиком;

● какие данные получает приложение;

● насколько оно действительно необходимо бизнесу.

Лишние приложения и интеграции лучше удалять, чтобы не увеличивать поверхность потенциальных рисков.

Даже самые надежные настройки не помогут, если сотрудники используют одинаковые пароли для всех сервисов, отправляют доступы через мессенджеры или записывают пароли на листочках.

Поэтому важно закрепить базовые правила безопасности во внутренних регламентах компании и регулярно напоминать о них сотрудникам.

Безопасность CRM начинается не с технологий, а с дисциплины пользователей.

Большинство проблем с безопасностью CRM возникает не из-за действий профессиональных хакеров.

Гораздо чаще причиной становятся ошибки внутри компании: избыточные права доступа, использование личных почтовых ящиков, несвоевременное отключение учетных записей и передача паролей между сотрудниками.