17 پرسش امنیتی هنگام خرید BPMS

آیا ابزار BPMS شما امن می‌باشد؟ آیا مطمئن هستید که تمامی کانالهای ارتباطی به ابزار شما امن است؟ اگر این سوالات احساس نگرانی کردید حتما برای انتخاب محصولتان با یک کارشناس امنیت مشورت کنید. نکات امنیتی زیر را بخوانید و محصول BPMS را تست کنید.

 

1. کنترل دسترسی - احراز هویت و مجوز دسترسی

شاید مهم ترین جنبه امنیتی BPM، کنترل دسترسی  باشد. داشتن فقط نام کاربری و کلمه عبور صرفا برای فراهم کردن احراز هویت کافی نیست. شما نیاز به روش های مجوز دسترسی مناسب نیز دارید. بسیاری از سیستم ها مجوز دسترسی را از سرویس LDAP استفاده می کنند که دسترسی کاربران به اطلاعات و منابع را مشخص می کند. اگر کاربری بتواند به چگونگی دسترسی به گروه LDAP پی ببرد، می تواند به همه چیز دسترسی داشته باشد، سرور BPM باید برخی راه های از پیش تعریف شده برای دسترسی کاربر مستر را داشته باشد.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • چگونه کاربر مستر به منابع و اطلاعات دسترسی دارد؟
  • آیا زمانی که به یک شخص دسترسی کاربر مستر داده می شود ما با خبر می شویم؟
  • آیا برای احراز هویت نیازمند سیستم third party هستیم؟
  • آیا سیاست های امنیتی به قدر کافی کاربران متخلف را محدود می کند؟

2. رمزگذاری کلمه عبور

کلمه ی عبور باید بصورت رمزگذاری شده ذخیره شود.این شامل کلمه های عبور کاربران، کلمه عبور پایگاه داده و سیستم های خارجی می باشد. سیستم هایی که از hash کردن مانند MD5 برای رمزگذاری استفاده می کنند خیلی بهتر و امن تر از سیستم هایی هستند که بدون رمزگذاری کلمه عبور را ذخیره می کنند. مراقب باشید، برخی از توسعه دهندگان سایت به اشتباه کلمه عبور را در فایل متنی ذخیره می کنند و گاهی در کلاس (با استفاده از جاوا) ذخیره می کنند که با تجزیه و decompiling به راحتی میتوان به کلمه ی عبور دسترسی پیدا کرد.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • چه کلمات عبوری را ذخیره میکنیم؟
  • آیا کلمه عبور رمز شده می باشد؟
  • آیا در سیستم توزیع شده، دسترسی به فایل سیستم و پایگاه داده به آسانی امکان‌پذیر می باشد؟
  • آیا سیاستی مبنی بر بررسی کد هر خط از برنامه وجود دارد؟

3. امنیت در سطح فیلد

فرآیندها اغلب شامل داده ها و فیلدها می باشند. آیا شما مطمئن هستید در سطح فیلد امنیت وجود دارد؟ و یادآوری کنم که اغلب سیستم های BPM شامل این دسترسی نمی باشند! شما امنیت را در سطح فرم فراهم میکنید ولی در سطح فیلد به صورت جداگانه امنیت وجود ندارد. و هکر به راحتی می تواند به فیلدهای اطلاعاتی دسترسی داشته باشد و فیلدهای حساس را مانند قیمت، نرخ و ... را تغییر دهد.

سوالهای زیر را از کارشناس امنیت سیستم بپرسید:

  • آیا امنیت در سطح فیلد وجود دارد؟
  • از کجا میتوان فهمید، چه کسی به چه فیلدی دسترسی دارد؟
  • آیا فقط توسعه دهندگان فیلد را در فرم پنهان کنند، کافیست یا اینکه دسترسی به فیلد، در سرور هم باید در نظر گرفته شود؟
  • چه فیلد و داده ای محرمانه می باشد؟

4.ارسال ایمیل

فرض کنید یک کاربر ایمیلی شامل یک لینک به فرم فرآیندی دریافت می کند. ایمیل را به سمت دیگری در سازمان ارسال می کند. شخص گیرنده ی ایمیل بر روی لینک کلیک می کند و فرم را باز می کند! او می تواند رد یا تایید کند. نقطه مرگ و خطر همین جاست! صادقانه فکر کنیم که چند نفر از شما این سناریو را تست کرده اید؟ بسیاری از شرکت ها این ویژگی را می خواهند، تهدید امنیتی را شناسایی نکرده اند.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • لینک به فرم های فرآیندی چگونه پیاده سازی شده است؟
  • چه اطلاعاتی در لینک قابل دسترسی می باشد؟ آیا اطلاعات رمز شده است؟
  • آیا سیستم قبل از باز کردن فرم، مجوز دسترسی را چک می کند؟
  • آیا ارسال ایمیل امنیت را به خطر می اندازد؟

5. یکپارچگی سیستم

شما فقط سیستم بسیار یکپارچه در مورد ابزار BPM می سازید. آیا مطمئن هستید ارتباط بین داده هایی که در جریان می باشند هم یکپارچه می باشد؟ و امنیت در هر کنترلی پیاده سازی شده است؟ اگر سیستم ها درخواست کلمه عبور کردند، آیا مطمئن هستید که رمز شده انتقال می یابد؟ بسیاری از ما فکر میکنیم اینترانت  محیط ارتباطی امنی می باشد، در صورتیکه واقعا اینطور نیست. با تکنولوژی wi-fi و مشابه، یک هکر باهوش می تواند در پارکینگ شما به شبکه ی شما دسترسی داشته باشد!

سوالهای زیر را از کارشناس امنیت بپرسید:

  • سیستم های ما در ارتباط با چه سیستم هایی هستند؟
  • چگونه اعتبار تعیین می شود؟
  • آیا این سیستم ها در مورد احراز هویت، چالش دارند؟
  • آیا به جای IP از نام دامین استفاده می کنید؟ اگر پاسخ مثبت است چه مقدار از هک کردن DNS Server خود جلوگیری کرده اید؟

6. دسترسی ریشه ای

تازه واردها این مشکل را دارند که دسترسی admin و ریشه ای به همه چیز و همه منابع را به کار می برند. سرور برنامه و پایگاه داده با امتیاز ریشه ای اجرا می شود. این جمله به چه معناست؟ اگر برنامه ی شما با دسترسی ریشه ای اجرا شود، برخی می توانند کدهایی را با دسترسی admin اجرا کنند و فایل های سیستمی را از بین ببرند. همیشه برنامه را با حداقل امتیاز برای اجرای برنامه، تنظیم کنید. همیشه حمله ها از درون شبکه رخ می دهند!

سوالهای زیر را از کارشناس امنیت بپرسید:

  • پلت فرم برنامه اجرایی چیست؟
  • چه سرویس های اجرا میشوند؟
  • چه تعداد از کاربران با سطح دسترسی admin می باشند؟
  • آیا در زمان استقرار برنامه، میتوان کدهایی را اجرا کرد؟

7. اطلاعات هم‌تیمی

این آیتم مربوط به کسب و کار می باشد. آیا کاربران میتوانند کار هم تیمی خود را ببینند؟ آیا تیم ها میتوانند کارهای دیگر تیم ها را ببینند؟ اگر جواب مثبت هست، جزئیات سطح دسترسی چیست؟

سوالهای زیر را از کارشناس امنیت بپرسید:

  • آیا دیگران به کارهای من دسترسی دارند؟
  • چه سطح از اطلاعات در دسترس می باشد؟
  • چه کارهایی در سطح اشخاص می باشد و چه سطح از دسترسی گروهی می باشد؟

8. امنیت سرور

بیشتر ابزارهای BPM از سرور برای محیط اجرایی خود استفاده می کنند. اگر ابزار BPM شما به خوبی امن باشد، آیا سرور هم به قدر کافی امن است؟ سرور شما کاربر Adminای دارد که از طریق آن هر کسی می تواند به تمامی اطلاعات شما دسترسی داشته باشد. و با استفاده از این امتیاز هکر می تواند سرور را متوقف یا خاموش کند.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • برای اجرای فرآیندها از چه نوع سروری استفاده می کنید؟
  • آیا شما نام و کلمه عبور پیش فرض را تغییر داده‌اید؟
  • آیا پورت مدیریت سرور برنامه مسدود شده است؟
  • آیا دسترسی مستقیم، یا از طریق API و یا از طریق Web service به سرور برنامه مسدود شده است؟

9. ورود یکپارچه (SSO)

بیشتر سازمانها برای ورود به برنامه از سیستم "ورود یکپارچه" استفاده می کنند. سازمانهای بالغ عمل احراز هویت ابزار BPM خود را با مکانیزم sso، یکپارچه می کنند و کمتر از احراز هویت windows استفاده می کنند. گاهی کلمه عبور توسط ارائه دهنده ی sso به اشتراک قرار می گیرد. در نهایت شما می توانید در صورتیکه sso درست پیاده سازی نشده باشد، بدون احراز هویت وارد سیستم شوید.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • کدام استاندارد sso پیاده سازی شده است؟
  • آیا سیستم به نام کاربری و کلمه عبور windows وابسته می باشد؟
  • چه سیستم های از sso استفاده می کنند؟ آیا این سیستم به قدر کافی امن می باشند؟
  • آیا میتوان یک token سیستم دیگر را در ابزار BPM استفاده کرد؟

10. پورت ها و دسترسی خارج از سیستم

DMZ برای امن کردن دسترسی به منابع شبکه ی داخلی به کاربرده می شود. اگر ابزار BPM شما توسط فروشنده و مشتری خارج از شبکه ی شما در دسترس می باشد، شما در معرض خطر امنیتی بزرگی می باشید. شما باید مطمئن باشید که پورت های مناسب مسدود شده است و شبکه ی اختصاصی مجازی (VPN) و شیوه های امنیتی مشابه در محل فراهم شده است. در غیر اینصورت مستعد حملات امنیتی می باشید.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • کدام پورت در سرور شما باز می باشد؟( و چرا)
  • چه اطلاعات و منابعی خارج از سرور و سیستم در دسترس می باشد؟
  • کاربران خارجی به طور مستقیم به سیستم دسترسی دارند یا از طریق پروکسی؟
  • آیا کاربر خارجی به API و یا Web Service ی دسترسی دارد؟
  • آیا برای دسترسی خارجی پروتکل HTTP، پیاده سازی شده است؟

همچنین استفاده از firewall مناسب هم پیشنهاد می شود. گاهی سیستم شما در معرض حمله ی انکار سرویس (Dos) برای فلج کردن سیستم، خواهد بود.

11. کنترل دسترسی به رابط برنامه‌نویسی نرم‌افزار

دسترسی به API بسیار اساسی و حائز اهمیت می باشد. بسیاری از ابزارهای BPM سرویس دسترسی به سرور از طریق API را ارائه می دهند و شما میتوانید به آسانی به سرور دسترسی داشته باشید. احراز هویت و مجوز دسترسی هر دو قبل از فراخوانی API باید در نظر گرفته شوند و از این طریق دسترسی به مهمان یا کاربر غیر مجاز غیرفعال می باشد.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • چه سرویسهایی در قالب API، ابزار BPM ارائه میدهد؟
  • آیا فراخوانی API، لازم به احراز هویت دارد؟
  • بعد از اینکه هویت کاربر شناسایی شد، چه آسیب هایی می تواند به سیستم برساند؟
  • آیا ما روش های کنترل دسترسی و احراز هویت در محل را داریم؟

12. سرویسهای تحت وب

همانند API، دسترسی به سرویس های تحت وب هم از اهمیت ویژه ای برخوردار می باشد. بزرگترین مشکل اجرا شدن وب سرویس در پورت HTTP است. اگر کاربر از طریق مرورگر به پرتال BPM دسترسی دارد، به وب سرویس هم دسترسی دارد. و اگر شما این دسترسی را کنترل نکنید، با مشکل بزرگی روبه رو هستید. و مشکل دیگر وب سرویس استاندارد بودن آن می باشد. افراد می توانند وب سرویس شما را شناسایی کنند.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • آیا ابزار از وب سرویس استفاده می کند؟
  • تا چه عمقی شخصی می تواند سرویس را شناسایی کند و به چگونگی منطق سرویس پی ببرد؟
  • آیا وب سرویس شامل احراز هویت و مجوز دسترسی می باشد؟
  • آیا سرویس های خاص و حساس کاربر در معرض دسترسی می باشد؟

13.  رویداد اعلان

بسیاری از ابزارهای BPM خدمات انتشار پیام را ارائه می دهند. وقتی وضعیت از فرآیند تغییر می کند پیامی را منتشر می کنند. و سیستم با انتشار این پیام اطلاعاتی را بین فرآِیندهای دیگر به اشتراک می گذارد. به ظاهر این رویه امن می باشد ولی سیستم های احراز هویت نشده هم می تواند به آسانی به تمامی اطلاعات دسترسی داشته باشد حتی به اطلاعات محرمانه.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • آیا سیستم هر نوع اطلاعاتی را منتشر می کند؟
  • تا چه اندازه دسترسی به اطلاعات منتشر شده امن می باشد؟
  • چه اطلاعاتی در پیام منتشرمی شود؟
  • چگونه میتوان سرویس انتشار را غیرفعال کرد؟

14. امنیت داده و گزارش

در حالیکه ممکن است تمامی اقدامات برای تضمین امنیت فرم ها و فرآیندها انجام شده باشد، ولی داده های درونی و دسترسی به گزارشات هم نیاز به امنیت دارند. چه کسی به داده ها از طریق ابزار توسعه SQL دسترسی دارد. اغلب مدیران به این دسته از گزارشات دسترسی دارند ولی باید مطمئن شوید که مدیران فقط به گزارشهای مربوط به بخش خود دسترسی داشته باشند نه به تمامی داده ها.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • چگونه دسترسی به داده ها کنترل می شود؟ آیا اشخاص به داده های درونی دسترسی دارند؟
  • آیا سطح دسترسی به جدولها پیاده سازی شده است؟
  • آیا حقوق دسترسی به گزارشات ابزار BPM برای افراد تعریف شده است؟
  • آیا میتوان از طریق API داده های تاریخچه را واکشی کرد؟

15. امنیت و سمت توسعه گر

شما نیاز دارید که امنیت را نظارت و کنترل کنید. اگر شما با منافع عمومی یا پول سروکار دارید نیاز دارید که مطمئن شوید دسترسی منطقی و درست می باشد یا خیر. قانون ساربنز-آکسلی (Sarbanes Oxley) به توسعه دهندگان سیستم اجازه ی دسترسی به سیستم تولید را نمی‌دهد. و دسترسی به داده تولید نیاز به مستند شدن و مجوز لحظه به لحظه دارد.

سوالهای زیر را از کارشناس امنیت بپرسید:

  • چه کسی به داده های تولید دسترسی دارد؟ آیا شخص قابل اعتماد می باشد؟
  • آیا لحظه به لحظه احراز هویت کاربران پیگیری و کنترل می شود؟
  • اگر یکی از کارکنان خدای نکرده با اتوبوس تصادف کند، آیا شخص دیگری در همان سطح دسترسی می تواند جانشین وی باشد؟
  • آیا سیاستهای مناسب برای مدیریت دسترسی و شناسایی دارید وقتی کارمندان سازمان شما را ترک کنند؟

16. امنیت فیزیکی

این مورد بدیهی می باشد اما حتی برای BPM هم مهم می باشد. آیا سرورهای به حد کافی امن می باشند؟ اگر سیستم در زیرساختارهای ابری اجرا می شود، این شانس وجود دارد که سرورهای شما در محل شما نباشد. چگونه مرکز داده ها را امن کرده اید؟ آیا یک مخرب شبکه می تواند به کسب و کار شما آسیب برساند؟

پرسشهایی که از کارشناس امنیت بپرسید:

  • آیا اطلاعات محرمانه در محل خودتان می باشد؟
  • چه سطحی از امنیت فیزیکی در مراکز داده و اتاق های سرور پیاده سازی شده است؟
  • آیا دسترسی فیزیکی نظارت و کنترل می شود؟
  • آیا داده های پشتیبانگیری در محل امن ذخیره می شوند؟

17. برنامه های پس از خسارت

در نهایت یک موضوع پر اهمیت مطرح می شود، آیا در مواجه شدن با  Dos یا حمله انکار سرویس و مشابه آن می توانید به کسب و کارتان ادامه دهید؟ برای ادامه ی کار چه راهکاری را در نظر گرفته اید؟ شما باید طرحی برای بازگرداندن اطلاعات خسارت دیده، داشته باشید.

برخی سوالهایی که از کارشناس امنیت بپرسید:

  • آیا ما طرح و برنامه ریزی در مورد بازگرداندن داده ها (Backup) و غلبه بر خسارت (Failover) داریم؟
  • در چه بازه ی زمانی می توانیم کسب و کار خسارت دیده شده را به وضعیت مناسب و اجرایی بازگردانیم؟
  • چه اقداماتی برای بازگرداندن داده های گم شده، اطلاعات خسارت دیده و کلمات رمز عبور به سرقت رفته لازم است ؟
  • آیا افراد سازمان در این شرایط می توانند به راحتی کار خود را ادامه دهند؟
  • آیا اشتباهات رخ داده در جایی ثبت می شود؟

نویسنده: Abhishek Mishra

منبع: bpmGeek.com

مترجم:  نگار محمدی

درباره رایورز

شرکت مهندسی نرم‌افزار رایورز در اوایل سال 1368 توسط جمعی‌از فعالین حرفه نرم‌افزار تأسیس گردید...

بیشتر بدانید

ارتباط با ما

  • تهران، خيابان ولی عصر، نرسيده به توانير، خيابان احتشام، شماره 5
  • 89326000

  • BPMS@rayvarz.com

خبرنامه پایگاه دانش BPM