آیا ابزار BPMS شما امن میباشد؟ آیا مطمئن هستید که تمامی کانالهای ارتباطی به ابزار شما امن است؟ اگر این سوالات احساس نگرانی کردید حتما برای انتخاب محصولتان با یک کارشناس امنیت مشورت کنید. نکات امنیتی زیر را بخوانید و محصول BPMS را تست کنید.
شاید مهم ترین جنبه امنیتی BPM، کنترل دسترسی باشد. داشتن فقط نام کاربری و کلمه عبور صرفا برای فراهم کردن احراز هویت کافی نیست. شما نیاز به روش های مجوز دسترسی مناسب نیز دارید. بسیاری از سیستم ها مجوز دسترسی را از سرویس LDAP استفاده می کنند که دسترسی کاربران به اطلاعات و منابع را مشخص می کند. اگر کاربری بتواند به چگونگی دسترسی به گروه LDAP پی ببرد، می تواند به همه چیز دسترسی داشته باشد، سرور BPM باید برخی راه های از پیش تعریف شده برای دسترسی کاربر مستر را داشته باشد.
سوالهای زیر را از کارشناس امنیت بپرسید:
کلمه ی عبور باید بصورت رمزگذاری شده ذخیره شود.این شامل کلمه های عبور کاربران، کلمه عبور پایگاه داده و سیستم های خارجی می باشد. سیستم هایی که از hash کردن مانند MD5 برای رمزگذاری استفاده می کنند خیلی بهتر و امن تر از سیستم هایی هستند که بدون رمزگذاری کلمه عبور را ذخیره می کنند. مراقب باشید، برخی از توسعه دهندگان سایت به اشتباه کلمه عبور را در فایل متنی ذخیره می کنند و گاهی در کلاس (با استفاده از جاوا) ذخیره می کنند که با تجزیه و decompiling به راحتی میتوان به کلمه ی عبور دسترسی پیدا کرد.
سوالهای زیر را از کارشناس امنیت بپرسید:
فرآیندها اغلب شامل داده ها و فیلدها می باشند. آیا شما مطمئن هستید در سطح فیلد امنیت وجود دارد؟ و یادآوری کنم که اغلب سیستم های BPM شامل این دسترسی نمی باشند! شما امنیت را در سطح فرم فراهم میکنید ولی در سطح فیلد به صورت جداگانه امنیت وجود ندارد. و هکر به راحتی می تواند به فیلدهای اطلاعاتی دسترسی داشته باشد و فیلدهای حساس را مانند قیمت، نرخ و … را تغییر دهد.
سوالهای زیر را از کارشناس امنیت سیستم بپرسید:
4.ارسال ایمیل
فرض کنید یک کاربر ایمیلی شامل یک لینک به فرم فرآیندی دریافت می کند. ایمیل را به سمت دیگری در سازمان ارسال می کند. شخص گیرنده ی ایمیل بر روی لینک کلیک می کند و فرم را باز می کند! او می تواند رد یا تایید کند. نقطه مرگ و خطر همین جاست! صادقانه فکر کنیم که چند نفر از شما این سناریو را تست کرده اید؟ بسیاری از شرکت ها این ویژگی را می خواهند، تهدید امنیتی را شناسایی نکرده اند.
سوالهای زیر را از کارشناس امنیت بپرسید:
شما فقط سیستم بسیار یکپارچه در مورد ابزار BPM می سازید. آیا مطمئن هستید ارتباط بین داده هایی که در جریان می باشند هم یکپارچه می باشد؟ و امنیت در هر کنترلی پیاده سازی شده است؟ اگر سیستم ها درخواست کلمه عبور کردند، آیا مطمئن هستید که رمز شده انتقال می یابد؟ بسیاری از ما فکر میکنیم اینترانت محیط ارتباطی امنی می باشد، در صورتیکه واقعا اینطور نیست. با تکنولوژی wi-fi و مشابه، یک هکر باهوش می تواند در پارکینگ شما به شبکه ی شما دسترسی داشته باشد!
سوالهای زیر را از کارشناس امنیت بپرسید:
تازه واردها این مشکل را دارند که دسترسی admin و ریشه ای به همه چیز و همه منابع را به کار می برند. سرور برنامه و پایگاه داده با امتیاز ریشه ای اجرا می شود. این جمله به چه معناست؟ اگر برنامه ی شما با دسترسی ریشه ای اجرا شود، برخی می توانند کدهایی را با دسترسی admin اجرا کنند و فایل های سیستمی را از بین ببرند. همیشه برنامه را با حداقل امتیاز برای اجرای برنامه، تنظیم کنید. همیشه حمله ها از درون شبکه رخ می دهند!
سوالهای زیر را از کارشناس امنیت بپرسید:
این آیتم مربوط به کسب و کار می باشد. آیا کاربران میتوانند کار هم تیمی خود را ببینند؟ آیا تیم ها میتوانند کارهای دیگر تیم ها را ببینند؟ اگر جواب مثبت هست، جزئیات سطح دسترسی چیست؟
سوالهای زیر را از کارشناس امنیت بپرسید:
بیشتر ابزارهای BPM از سرور برای محیط اجرایی خود استفاده می کنند. اگر ابزار BPM شما به خوبی امن باشد، آیا سرور هم به قدر کافی امن است؟ سرور شما کاربر Adminای دارد که از طریق آن هر کسی می تواند به تمامی اطلاعات شما دسترسی داشته باشد. و با استفاده از این امتیاز هکر می تواند سرور را متوقف یا خاموش کند.
سوالهای زیر را از کارشناس امنیت بپرسید:
بیشتر سازمانها برای ورود به برنامه از سیستم “ورود یکپارچه” استفاده می کنند. سازمانهای بالغ عمل احراز هویت ابزار BPM خود را با مکانیزم sso، یکپارچه می کنند و کمتر از احراز هویت windows استفاده می کنند. گاهی کلمه عبور توسط ارائه دهنده ی sso به اشتراک قرار می گیرد. در نهایت شما می توانید در صورتیکه sso درست پیاده سازی نشده باشد، بدون احراز هویت وارد سیستم شوید.
سوالهای زیر را از کارشناس امنیت بپرسید:
DMZ برای امن کردن دسترسی به منابع شبکه ی داخلی به کاربرده می شود. اگر ابزار BPM شما توسط فروشنده و مشتری خارج از شبکه ی شما در دسترس می باشد، شما در معرض خطر امنیتی بزرگی می باشید. شما باید مطمئن باشید که پورت های مناسب مسدود شده است و شبکه ی اختصاصی مجازی (VPN) و شیوه های امنیتی مشابه در محل فراهم شده است. در غیر اینصورت مستعد حملات امنیتی می باشید.
سوالهای زیر را از کارشناس امنیت بپرسید:
همچنین استفاده از firewall مناسب هم پیشنهاد می شود. گاهی سیستم شما در معرض حمله ی انکار سرویس (Dos) برای فلج کردن سیستم، خواهد بود.
دسترسی به API بسیار اساسی و حائز اهمیت می باشد. بسیاری از ابزارهای BPM سرویس دسترسی به سرور از طریق API را ارائه می دهند و شما میتوانید به آسانی به سرور دسترسی داشته باشید. احراز هویت و مجوز دسترسی هر دو قبل از فراخوانی API باید در نظر گرفته شوند و از این طریق دسترسی به مهمان یا کاربر غیر مجاز غیرفعال می باشد.
سوالهای زیر را از کارشناس امنیت بپرسید:
همانند API، دسترسی به سرویس های تحت وب هم از اهمیت ویژه ای برخوردار می باشد. بزرگترین مشکل اجرا شدن وب سرویس در پورت HTTP است. اگر کاربر از طریق مرورگر به پرتال BPM دسترسی دارد، به وب سرویس هم دسترسی دارد. و اگر شما این دسترسی را کنترل نکنید، با مشکل بزرگی روبه رو هستید. و مشکل دیگر وب سرویس استاندارد بودن آن می باشد. افراد می توانند وب سرویس شما را شناسایی کنند.
سوالهای زیر را از کارشناس امنیت بپرسید:
بسیاری از ابزارهای BPM خدمات انتشار پیام را ارائه می دهند. وقتی وضعیت از فرآیند تغییر می کند پیامی را منتشر می کنند. و سیستم با انتشار این پیام اطلاعاتی را بین فرآِیندهای دیگر به اشتراک می گذارد. به ظاهر این رویه امن می باشد ولی سیستم های احراز هویت نشده هم می تواند به آسانی به تمامی اطلاعات دسترسی داشته باشد حتی به اطلاعات محرمانه.
سوالهای زیر را از کارشناس امنیت بپرسید:
در حالیکه ممکن است تمامی اقدامات برای تضمین امنیت فرم ها و فرآیندها انجام شده باشد، ولی داده های درونی و دسترسی به گزارشات هم نیاز به امنیت دارند. چه کسی به داده ها از طریق ابزار توسعه SQL دسترسی دارد. اغلب مدیران به این دسته از گزارشات دسترسی دارند ولی باید مطمئن شوید که مدیران فقط به گزارشهای مربوط به بخش خود دسترسی داشته باشند نه به تمامی داده ها.
سوالهای زیر را از کارشناس امنیت بپرسید:
شما نیاز دارید که امنیت را نظارت و کنترل کنید. اگر شما با منافع عمومی یا پول سروکار دارید نیاز دارید که مطمئن شوید دسترسی منطقی و درست می باشد یا خیر. قانون ساربنز-آکسلی (Sarbanes Oxley) به توسعه دهندگان سیستم اجازه ی دسترسی به سیستم تولید را نمیدهد. و دسترسی به داده تولید نیاز به مستند شدن و مجوز لحظه به لحظه دارد.
سوالهای زیر را از کارشناس امنیت بپرسید:
این مورد بدیهی می باشد اما حتی برای BPM هم مهم می باشد. آیا سرورهای به حد کافی امن می باشند؟ اگر سیستم در زیرساختارهای ابری اجرا می شود، این شانس وجود دارد که سرورهای شما در محل شما نباشد. چگونه مرکز داده ها را امن کرده اید؟ آیا یک مخرب شبکه می تواند به کسب و کار شما آسیب برساند؟
پرسشهایی که از کارشناس امنیت بپرسید:
در نهایت یک موضوع پر اهمیت مطرح می شود، آیا در مواجه شدن با Dos یا حمله انکار سرویس و مشابه آن می توانید به کسب و کارتان ادامه دهید؟ برای ادامه ی کار چه راهکاری را در نظر گرفته اید؟ شما باید طرحی برای بازگرداندن اطلاعات خسارت دیده، داشته باشید.
برخی سوالهایی که از کارشناس امنیت بپرسید:
نویسنده: Abhishek Mishra
منبع: bpmGeek.com
سوالی دارید از ما بپرسید
تلفن: 89326444-021
آنچه در این مقاله میخوانید