Безопасность в Битрикс24. Ключевые рекомендации для администратора и сотрудников

Информационная безопасность Битрикс24 требует соблюдения правил на трёх уровнях: платформа, компания и каждый сотрудник. Ниже приведены основные меры, которые необходимо провести для защиты корпоративных данных. Материал будет полезен администраторам портала и руководителям, которые отвечают за безопасность данных компании.

Приглашение пользователей на портал

Контролируйте, кто может приглашать новых пользователей. По умолчанию любой сотрудник может отправлять приглашения. Данная опция настраивается в разделе «Сотрудники» → «Структура компании» → «Права доступа».

Администраторы портала

Выдавайте права администратора только тем, кому они действительно нужны. Администратор имеет доступ ко всем функциям и данным портала, что является серьёзным риском. Список администраторов можно просмотреть в разделе «Сотрудники» → «Поиск сотрудника» → поиск с фильтром «Администратор = Да».

Ролевая модель портала

Настройте ролевую модель доступа во всех разделах системы – включая CRM, цифровые рабочие места и смарт-процессы, задачи, бизнес-процессы, сотрудники. Создавайте роли с разными правами для отделов и должностей. Например, менеджеры могут работать только со своими сделками, а руководители могут видеть всю воронку.

Гости на портале

Для партнёров и заказчиков используйте функционал гостей в Проектах. Гости могут работать с документами и задачами конкретного проекта, но не имеют доступа к внутренней информации компании.

Аутентификация: надёжные пароли и 2FA

Требуйте от сотрудников сложные пароли. Хороший пароль содержит не менее 10 символов, включает прописные и строчные буквы, цифры и символы, не содержит легко угадываемой информации (клички, фамилии, годы рождения).

Также включите двухфакторную аутентификацию (2FA). Это дополнительная защита аккаунта. Кроме логина и пароля потребуется подтвердить вход в мобильном приложении Битрикс24. Без этого войти не получится, даже если кто-то узнает пароль. 2FA настраивается каждым сотрудником самостоятельно. Как сотруднику настроить 2FA:

• Необходимо заранее установить мобильное приложение Битрикс24 и авторизоваться в нём.
• В веб или десктоп-версии Битрикс24 нажмите на свой профиль → Безопасность → Двухфакторная аутентификация → Включить.

• Наведите камеру смартфона на QR-код и перейдите по ссылке на экране. Никому не показывайте QR-код, в нём содержится информация для входа в ваш аккаунт.

• В мобильном приложении нажмите «Отлично», затем в Битрикс24 на компьютере нажмите «Продолжить».

• Укажите и подтвердите номер телефона и электронную почту. Они понадобятся, если не будет доступа к телефону с приложением.

Устройство, с которого вы подтвердили вход, становится доверенным. Его можно изменить в любое время.

Сохраните резервные коды. Они понадобятся, если вы не сможете подтвердить вход через мобильное приложение. Сразу после включения 2FA: Профиль → Безопасность → Двухфакторная аутентификация → Резервные коды → Распечатайте или сохраните. Храните коды в надёжном месте, каждый код используется только один раз.

Как администратору сделать 2FA обязательной для всей компании:

• Сначала включите 2FA для своего аккаунта.
• Перейдите в Настройки → Безопасность → Двухфакторная аутентификация.
• Включите 2FA для всей компании.
• Установите срок, в течение которого сотрудники должны настроить 2FA. Те, кто не успеет, не смогут войти в Битрикс24.
• Сохраните изменения.

Если ранее использовалась 2FA через коды из специальных приложений: Настройки → Безопасность → Двухфакторная аутентификация → Включить, после чего настраивается новая 2FA.

Защита от утечек данных

Ограничьте возможность делать скриншоты и копировать текст в мобильном приложении. Администратор может включить запрет для конкретных сотрудников или отделов: Настройки → Безопасность → Защита информации от утечки.

Приложения из Маркетплейса

Приложения, которые устанавливаются из Маркетплейса Битрикс24, могут использовать данные и инструменты на вашем портале. Все приложения проходят предварительную проверку у вендора перед тем, как будут опубликованы. Но если у вашей организации особая политика в отношении данных, то рекомендуется ознакомиться с тем, к каким частям портала то или иное приложение запрашивает доступ и на основании этого принимать решение об установке.

Внешние интеграции

Когда вы создаёте вебхук, в нём автоматически генерируется секретный код или токен. Никому не передавайте секретный код вебхука и не указывайте его в коде страницы или скрипта. Если посторонние люди увидят этот код, они смогут получить доступ к данным вашего Битрикс24. Обращайте внимание на набор выдаваемых вебхуку прав. Не стоит выдавать все права. Ограничьтесь лишь теми, которые требуются для решения конкретной задачи.

Также рекомендуется время от времени проводить актуализацию вебхуков. Не забывайте про раздел «Разработчикам» → «Статистика», в котором можно увидеть частоту обращений к порталу по конкретным событиям и отследить возможные аномалии.

Если секретный код попал в открытый доступ или есть подозрение на несанкционированное использование:

• Перегенерируйте секретный код в настройках вебхука: «Разработчикам» → «Интеграции» → меню (≡) → «Редактировать» → «Перегенерировать». Старый код после этого перестанет действовать.

• Обновите код во внешней системе или скрипте, где используется вебхук, иначе интеграция перестанет работать.
• Проверьте права вебхука, не выданы ли лишние доступы. Если вебхук использовался только для CRM, а имеет доступ ко всем разделам, сократите перечень прав.

История входов и журнал событий

История входов является инструментом контроля безопасности аккаунта в Битрикс24. Он помогает проверить, не заходил ли кто-то посторонний в ваш профиль, и вовремя среагировать на подозрительную активность. История входов доступна на тарифе «Энтерпрайз» и срок хранения записей составляет 180 дней.

Также доступен журнал событий. Это расширенный инструмент аудита для администраторов. В отличие от истории входов, он фиксирует не только авторизации, но и другие события: запросы на смену пароля, ошибки платёжных систем, ошибки служб доставки и т.д. Журнал событий доступен начиная с тарифа «Базовый». В журнале событий срок хранения событий составляет 7 дней на тарифах «Базовый» и «Стандартный» и 182 дня на тарифах «Профессиональный» и «Энтерпрайз».

Различия в облачной и коробочной версиях

Существуют две версии Битрикс24 — облачная и коробочная. В зависимости от версии различается набор мер по защите портала.

Облачная версия работает на мощностях компании Битрикс24. Данные хранятся в защищённых дата-центрах на территории России, SSL и WAF включены по умолчанию, обновления приходят автоматически, но у конечных пользователей отсутствует доступ к серверной части и панели администратора.

Коробочная версия размещается на стороне компании, и серверная часть также переходит в её зону ответственности. Компания должна самостоятельно поддерживать сервер и планировать обновления платформы. Взамен коробочная версия предлагает более гибкие инструменты настройки, такие как панель администратора и доступ к исходному коду, а в плане безопасности обеспечивает локальное хранение данных и даёт возможность компании пройти аттестацию по 152-ФЗ, так как коробочная версия прошла сертификацию ФСТЭК.

Итог

Безопасность Битрикс24 является не разовым мероприятием, а постоянным процессом. Начните с базовых шагов: ограничьте права доступа, включите 2FA и сохраните резервные коды. Затем настройте защиту от утечек и регулярно проверяйте историю входов. Помните, что платформа обеспечивает только часть защиты, многое зависит от действий администратора и внимательности каждого сотрудника. Чем раньше вы внедрите эти правила, тем надёжнее будут защищены данные вашей компании.