Asas Keselamatan Sistem Perniagaan Tersuai: Jejak Audit, Sandaran dan Soalan untuk Pembina Anda

Sebelum anda menempah sistem perniagaan tersuai, anda akan diminta meluluskan skrin, ciri dan harga. Jarang ada yang meminta anda meluluskan cara sistem itu dilindungi, walhal inilah yang menentukan apa yang berlaku pada hari yang buruk: seorang staf memadam senarai pelanggan yang salah, kata laluan jurujual diteka orang, harga diubah tetapi tiada siapa tahu oleh siapa, atau pelayan rosak pada hari ke-28 setiap bulan.

Panduan ini untuk pemilik dan pengurus yang bukan pakar teknikal dan hampir mengupah pembina sistem, sama ada pekerja bebas, pembangun dalaman atau syarikat perisian. Ia tidak mengajar anda mengamankan sistem sendiri. Ia memberi soalan dalam bahasa mudah untuk ditanya, bunyi jawapan yang baik dan apa yang perlu dimasukkan dalam sebut harga bertulis. Ini panduan umum, bukan nasihat undang-undang dan bukan huraian kaedah mana-mana pembekal. Tentang siapa boleh melihat dan melakukan apa, ia merujuk panduan sedia ada dan tidak mengulanginya; tumpuan di sini ialah jejak audit, sandaran dengan ujian pemulihan, log masuk dan soalan usaha wajar (due diligence) yang menghubungkan semuanya.

Keselamatan dalam bahasa mudah: tiga soalan

Anda tidak perlu istilah keselamatan untuk menilai seorang pembina. Hampir setiap langkah perlindungan menjawab satu daripada tiga soalan:

• Siapa boleh masuk, dan apa yang mereka boleh buat? Akaun, peranan, kata laluan dan pengesahan dua langkah.
• Apa yang berlaku, dan siapa yang melakukannya? Jejak audit, serta rekod aktiviti di belakangnya.
• Jika berlaku masalah, bolehkah kita pulih? Sandaran, pemulihan yang telah diuji, serta cara sistem dihoskan dan dikemas kini.

Satu soalan keempat mendasari ketiga-tiganya: data peribadi apa yang kita simpan, dan siapa yang bertanggungjawab ke atasnya? Oleh kerana jawapannya menyentuh undang-undang, ia diberi bahagian tersendiri di bawah.

Berwaspadalah terhadap sesiapa yang menjawab soalan keselamatan dengan "jangan risau, ia selamat sepenuhnya" atau "100% selamat". Tiada sistem yang selamat dengan sempurna. Pembina yang baik bercakap tentang apa yang dilindungi, apa yang direkodkan, bagaimana anda akan tahu ada yang tidak kena dan bagaimana anda akan pulih. Jika anda hanya mendengar jaminan, minta butiran dinyatakan secara bertulis.

Siapa boleh melihat dan melakukan apa

Peranan ialah langkah perlindungan pertama, dan jejak audit bergantung padanya. Jika semua orang berkongsi satu log masuk, rekod hanya boleh berkata "pejabat yang buat". Jadi item usaha wajar pertama mudah: setiap orang mempunyai akaun sendiri, dan setiap peranan hanya melihat dan mengubah apa yang diperlukan oleh tugasnya. Menentukannya dengan betul (peranan pemilik, pengurus dan staf, enam tindakan yang perlu diputuskan bagi setiap jenis rekod, had kelulusan dan apa yang perlu dibuat apabila staf masuk atau keluar) memerlukan panduan tersendiri, jadi ia tidak diulang di sini. Baca dahulu siapa patut melihat apa: peranan dan kebenaran pengguna dalam sistem perniagaan tersuai, kemudian kembali kepada jejak audit, sandaran dan log masuk di bawah.

Jejak audit: siapa mengubah apa, dan bila

Jejak audit (juga dipanggil log audit atau sejarah aktiviti) ialah rekod yang disimpan sistem secara automatik tentang tindakan penting: siapa yang melakukannya, apa yang dilakukan, pada rekod yang mana dan bila. Ia tidak sama dengan medan "terakhir diubah suai", yang hanya menunjukkan perubahan terkini. Jejak audit menyimpan setiap perubahan mengikut susunan.

Berikut contoh rekaan. Seorang pelanggan mengadu bahawa harga pada sebut harga ialah RM2,400 minggu lalu dan kini tertulis RM2,000. Dengan jejak audit, anda membuka sejarah sebut harga itu dan membaca: "3 November, 4:12 petang, Aisha (jualan), menukar harga seunit daripada RM2,400 kepada RM2,000, diskaun diluluskan oleh Encik Lim." Tanpa jejak audit, anda hanya bertanya di sekeliling pejabat dan membuat andaian.

Jejak audit berguna atas empat sebab harian:

• Menyelesaikan pertikaian. Ia menjawab "siapa yang mengubah ini?" tanpa menyalahkan atau meneka.
• Mengesan kesilapan awal. Suntingan pukal atau pemadaman yang salah boleh dikesan dan diundurkan, kerana anda dapat melihat rekod mana yang disentuh.
• Menghalang salah guna. Orang berkelakuan berbeza apabila tahu perubahan harga, stok dan butiran pelanggan direkodkan.
• Menyokong akauntan atau juruaudit anda. Sejarah perubahan kewangan yang jelas memudahkan soalan hujung tahun.

Jejak ini tidak perlu merangkumi setiap klik. Merekod segala-galanya menjadikan log terlalu besar dan tidak boleh dibaca. Putuskan bersama pembina peristiwa mana yang penting kepada perniagaan anda dan hadkan kepada yang itu.

Apa yang perlu dilog, dan apa yang perlu dijauhkan daripada log

Gunakan jadual ini sebagai senarai permulaan dan sesuaikannya. Senarai yang betul bergantung pada perniagaan anda: klinik dan syarikat perdagangan akan mengambil berat tentang rekod yang berbeza.

Sama penting ialah apa yang log tidak boleh mengandungi: kata laluan, nombor penuh kad pembayaran atau rahsia lain. Log itu sendiri ialah simpanan maklumat, jadi tanya pembina bagaimana butiran sensitif seperti nombor kad pengenalan dikendalikan di dalamnya.

Kemudian tanya bagaimana log itu sendiri dilindungi. Jejak yang boleh disunting atau dipadam oleh orang yang direkodkan tidak bernilai banyak. Soalan untuk pembina:

• Siapa boleh membacanya? Lazimnya pemilik dan pengurus yang ditetapkan, bukan semua staf.
• Bolehkah sesiapa menyunting atau memadam entri? Pengguna biasa tidak sepatutnya boleh, dan pentadbir harus dihadkan.
• Berapa lama ia disimpan? Tetapkan tempoh yang sesuai dengan perniagaan anda. Bagi rekod perakaunan, tanya akauntan anda apa yang perlu disimpan.
• Bolehkah anda mencari dan mengeksportnya? Log yang tidak boleh dicari mengikut rekod atau orang sukar digunakan apabila diperlukan.
• Adakah ia termasuk dalam pembinaan? Jangan andaikan begitu. Minta ia sebagai item bernama dalam sebut harga.

Sandaran: apa yang disalin, kekerapan dan lokasinya

Sandaran ialah salinan data yang disimpan berasingan, supaya anda boleh pulih jika sesuatu hilang, rosak atau dipadam. Bagi sistem perniagaan, "sandaran" bukan satu benda. Tanya yang mana satu dilindungi:

• Pangkalan data. Pelanggan, pesanan, invois, stok dan setiap rekod lain. Ini lazimnya bahagian yang paling bernilai.
• Fail yang dimuat naik. Sebut harga, foto, dokumen bertandatangan dan lampiran, yang selalunya disimpan berasingan daripada pangkalan data.
• Tetapan dan kod. Konfigurasi dan program itu sendiri, supaya pelayan ganti boleh disediakan tanpa bermula dari awal.

Kemudian tanya empat soalan yang penting:

• Berapa kerap? Letakkannya sebagai kerja yang anda sanggup hilang. Jika sistem gagal pada pukul 5 petang, adakah anda boleh menerima kehilangan entri sepanjang hari, entri sejam atau tiada langsung? Jawapan itu menentukan kekerapan sandaran, dan kehilangan yang lebih sedikit mungkin lebih mahal.
• Di mana salinan disimpan? Sandaran yang hanya disimpan pada pelayan yang sama akan hilang bersama pelayan itu. Minta sekurang-kurangnya satu salinan di tempat lain.
• Berapa banyak salinan lama disimpan? Salinan lama ialah jalan pulang daripada kesilapan yang disedari beberapa hari kemudian, seperti fail yang diimport secara salah.
• Siapa boleh mencapai atau memadamnya? Sandaran mengandungi semua data anda, jadi akses harus dihadkan kepada individu yang dinamakan, dan salinan harus sukar dipadam secara tidak sengaja atau oleh orang yang mengambil alih sesuatu akaun.

Sandaran syarikat pengehosan dan sandaran sistem anda tidak semestinya sama. Hos mungkin menyalin fail pelayan mengikut jadual tanpa sesiapa menyemak sama ada pangkalan data sistem anda boleh dikembalikan ke keadaan yang boleh digunakan. Minta pembina menyatakan secara bertulis sandaran apa yang wujud untuk data sistem, siapa bertanggungjawab bagi setiap satu dan siapa yang membayar. Untuk bahagian laman web, dengan fail dan pangkalan datanya sendiri, lihat panduan sandaran laman web; panduan ini tentang data di dalam sistem perniagaan anda.

Ujian pemulihan: sandaran yang tidak pernah dipulihkan hanyalah harapan

Soalan paling berguna yang boleh anda tanya kepada pembina juga yang paling mudah: "Bila kali terakhir anda memulihkan ini daripada sandaran, dan adakah ia berjaya?" Sandaran boleh berjalan berbulan-bulan dan masih gagal pada hari yang diperlukan, kerana fail yang hilang, salinan yang rosak atau pemulihan yang tidak pernah dilatih. Ujian pemulihan membuktikan seluruh rantaian berfungsi.

Minta pembina menjalankannya sebelum pelancaran, menggunakan salinan ujian sistem yang berasingan supaya data langsung tidak disentuh:

1. Pilih satu sandaran. Pilih yang sebenar, bukan salinan yang dibuat khas untuk ujian.
2. Pulihkan ke persekitaran berasingan. Bukan di atas sistem langsung.
3. Semaknya. Log masuk, kira rekod berbanding angka yang diketahui, buka beberapa pesanan terkini, sahkan dokumen yang dimuat naik boleh dibuka, dan semak entri terbaharu pada masa sandaran ada di situ.
4. Catat masanya. Tulis berapa lama ia mengambil masa, kerana itulah anggaran tempoh anda tanpa sistem.
5. Tulis langkah dan siapa yang melakukannya. Pada hari yang buruk, orang yang membinanya mungkin tidak dapat dihubungi.
6. Setuju bila ia diulang. Tetapkan rentak secara bertulis, contohnya selepas perubahan besar dan pada sela masa yang dipersetujui.

Jadikannya sebahagian daripada penerimaan. Panduan ujian penerimaan pengguna menunjukkan cara membina senarai semak kelulusan, dan "ujian pemulihan lulus" patut ada di dalamnya.

Log masuk: kata laluan dan pengesahan dua langkah

Kebanyakan pencerobohan menggunakan kata laluan yang dicuri, digunakan semula atau diteka, bukan helah teknikal yang bijak. Jadi asasnya lebih penting daripada apa-apa yang luar biasa:

• Satu akaun setiap orang. Tiada log masuk dikongsi, supaya jejak audit bermakna.
• Tiada kata laluan lalai ditinggalkan. Minta sebarang kata laluan permulaan atau pentadbir terbina dalam diubah atau dibuang sebelum pelancaran.
• Kata laluan panjang dan unik. Panjang membantu lebih daripada simbol yang rumit, dan pengurus kata laluan menjadikannya praktikal. Staf tidak patut menggunakan semula kata laluan dari laman lain.
• Perlindungan terhadap tekaan berulang. Selepas beberapa percubaan gagal, sistem patut memperlahankan atau mengunci akaun.
• Proses set semula yang selamat. Set semula tidak patut membenarkan orang asing mengambil alih akaun hanya dengan mengetahui alamat e-mel.
• Kata laluan disimpan dengan selamat. Tanya sama ada kata laluan disimpan dalam bentuk yang pembangun sendiri tidak dapat baca semula. Jawapannya patut ya.

Pengesahan dua langkah (juga dipanggil pengesahan dua faktor atau 2FA) meminta bukti kedua, seperti kod daripada aplikasi di telefon pengguna, selain kata laluan. Ia menghalang kata laluan yang dicuri daripada mencukupi dengan sendirinya. Sekurang-kurangnya, minta ia untuk pentadbir dan sesiapa yang boleh melihat wang atau data peribadi, dan tanya sama ada ia boleh dihidupkan untuk semua orang. Kod yang dijana aplikasi umumnya dianggap lebih kukuh daripada kod yang dihantar melalui SMS, walaupun kod SMS lebih baik daripada tiada. Tanya juga apa yang berlaku apabila seseorang kehilangan telefon, kerana langkah pemulihan itu tidak boleh menjadi pintu masuk yang mudah.

Lumpuhkan akaun orang yang berhenti pada hari yang sama mereka pergi; rutin masuk, bertukar dan keluar dalam panduan peranan merangkumnya. Untuk log masuk ke akaun pengehosan itu sendiri, lihat mengamankan akaun pengehosan cPanel anda.

Pengehosan dan kemas kini, secara ringkas

Anda tidak perlu belajar pentadbiran pelayan, tetapi anda patut tahu jawapan kepada beberapa soalan, kerana ia menjejaskan semua perkara di atas:

• Di mana ia berjalan, dan siapa yang menjalankannya? Akaun pengehosan anda sendiri, milik pembina atau pihak ketiga. Atas nama siapa akaun itu?
• Adakah sambungan disulitkan? Sistem patut diakses melalui HTTPS, ikon mangga di pelayar, supaya data tidak boleh dibaca semasa dihantar.
• Adakah ada salinan ujian yang berasingan? Perubahan patut dicuba pada salinan ujian, bukan pada sistem langsung yang digunakan staf anda.
• Siapa yang membuat kemas kini, dan bagaimana anda dimaklumkan? Perisian yang menjadi asas sistem terus dikemas kini, dan membaiki kelemahan yang diketahui bergantung pada seseorang melakukannya. Tanya sama ada ia termasuk dalam pembinaan, dalam perjanjian penyelenggaraan atau kerja tiada siapa. Penyelenggaraan perisian selepas pelancaran menerangkan perbezaannya.
• Siapa mempunyai akses kepada data langsung? Pembangun kadangkala mengekalkan akses selepas projek tamat. Minta akses dihadkan kepada yang diperlukan dan dibuang apabila tidak diperlukan.

Data peribadi: kendalikan dengan teliti dan sahkan peraturannya

Kebanyakan sistem perniagaan menyimpan data peribadi pelanggan dan staf: nama, nombor telefon, alamat, kadangkala nombor kad pengenalan atau butiran kesihatan. Prinsip untuk anda sebagai pemilik mudah: kumpul hanya apa yang anda perlukan, benarkan hanya orang yang sesuai melihatnya, simpan hanya selama diperlukan, dan tahu cara membetulkan atau memadamnya.

Sampaikan ini kepada pembina dalam bentuk praktikal:

• Adakah kita perlukan medan ini langsung? Jangan kumpul nombor kad pengenalan hanya kerana borang boleh berbuat demikian.
• Bolehkah kita mencari, membetulkan dan memadam data seseorang? Tanya bagaimana ia dilakukan, termasuk daripada sandaran.
• Bolehkah kita mengeksport apa yang kita simpan? Anda mungkin memerlukannya untuk sesuatu permintaan, dan ia juga bermakna anda tidak terkunci.
• Adakah data pelanggan sebenar digunakan dalam salinan ujian? Jika ya, ia memerlukan penjagaan yang sama seperti sistem langsung, atau gunakan data rekaan.
• Apa yang berlaku jika sesuatu tidak kena? Setuju lebih awal siapa yang dimaklumkan, siapa yang menyiasat dan siapa yang memutuskan apa yang dikatakan kepada orang yang terjejas.

Malaysia mempunyai undang-undang perlindungan data, iaitu Akta Perlindungan Data Peribadi 2010 (PDPA), yang telah dipinda dalam beberapa tahun kebelakangan ini, termasuk kewajipan baharu berkaitan pelanggaran data tertentu. Sama ada dan bagaimana ia terpakai kepada perniagaan anda bergantung pada keadaan anda. Panduan ini bukan nasihat undang-undang, jadi sila sahkan apa yang terpakai kepada anda dengan sumber rasmi, iaitu bahan Pesuruhjaya Perlindungan Data Peribadi, atau dengan peguam, kemudian masukkan keperluan anda dalam brif.

Soalan untuk ditanya kepada pembina anda

Bawa soalan ini ke mesyuarat pertama dan minta jawapan secara bertulis. Jawapan yang ringkas dan spesifik ialah petanda baik; jawapan yang kabur wajar didesak.

• Adakah setiap pengguna mendapat akaun sendiri, dan bagaimana peranan disediakan?
• Apa yang direkodkan oleh jejak audit, dan bolehkah pengguna biasa atau pentadbir menyuntingnya?
• Berapa lama ia disimpan, dan bolehkah saya mencari serta mengeksportnya?
• Apa yang disandarkan (pangkalan data, fail yang dimuat naik, tetapan dan kod)?
• Berapa kerap, di mana salinan disimpan dan selama berapa lama?
• Bila ujian pemulihan terakhir dibuat, dan bolehkah anda menjalankannya sebelum pelancaran?
• Berapa lama diperlukan untuk menjalankan semula sistem kami selepas kegagalan?
• Bagaimana kata laluan disimpan, dan apa yang menghalang tekaan berulang?
• Adakah pengesahan dua langkah tersedia, untuk siapa, dan bagaimana proses jika telefon hilang?
• Di mana sistem dihoskan, atas nama siapa, dan adakah sambungan disulitkan?
• Siapa yang membuat kemas kini, dan adakah ia termasuk dalam harga?
• Siapa di pihak anda yang boleh mencapai data langsung, dan bila akses itu dibuang?
• Apa data peribadi yang disimpan sistem, dan bagaimana kami membetulkan atau memadamnya?
• Apa yang berlaku kepada data dan akses saya jika kita berpisah?

Jadual usaha wajar: jawapan yang baik dan tanda amaran

Gunakan jadual ini apabila membandingkan pembina atau menyemak cadangan. Ia menyenaraikan rupa jawapan yang munasabah, apa yang patut membuat anda berhenti seketika dan apa yang perlu diminta untuk ditulis.

Jika pembina mendakwa memiliki pensijilan atau laporan keselamatan bebas, minta untuk melihatnya dan apa yang diliputinya. Dokumen sedemikian menerangkan skop tertentu pada satu masa; ia tidak membuktikan tiada apa yang boleh berlaku, dan projek kecil tidak selalu memerlukannya. Jangan anggap ketiadaan sijil sebagai kegagalan automatik juga; nilai jawapan spesifik di atas.

Apa yang perlu dimasukkan dalam sebut harga bertulis

Jika sesuatu perlindungan tidak ditulis, anda tidak boleh menganggapnya termasuk, dan yang tiada mungkin kemudian dianggap sebagai tambahan. Minta bahagian ringkas "keselamatan dan pemulihan" dalam sebut harga atau spesifikasi yang merangkumi:

• Peranan dan log masuk. Akaun individu, peranan yang dipersetujui, peraturan kata laluan dan skop pengesahan dua langkah.
• Jejak audit. Peristiwa yang direkod, siapa boleh membacanya dan berapa lama entri disimpan.
• Sandaran. Apa yang disalin, kekerapan, di mana salinan disimpan, berapa banyak dikekalkan dan siapa bertanggungjawab.
• Ujian pemulihan. Satu sebelum pelancaran, ditambah rentak ulangan yang dipersetujui, dan siapa yang menjalankannya.
• Pengehosan dan kemas kini. Di mana ia berjalan, atas nama siapa, siapa membuat kemas kini dan sama ada kosnya termasuk.
• Data peribadi. Medan yang disimpan, cara rekod dibetulkan atau dipadam dan siapa yang perlu dimaklumkan jika sesuatu tidak kena.
• Akses dan keluar. Akses pembina kepada data langsung, bila ia tamat, dan bagaimana anda mendapat eksport. Lihat siapa memiliki kod untuk soalan pemilikan yang berkaitan.
• Penerimaan. Ujian yang mesti lulus sebelum anda membayar fasa akhir.

Letakkan bahagian yang sama di hadapan setiap pembekal supaya sebut harga boleh dibandingkan secara adil; cara membandingkan sebut harga perisian tersuai menunjukkan caranya. Untuk bersedia bagi mesyuarat pertama itu, lihat apa yang perlu disediakan sebelum anda bercakap dengan pembangun perisian. Jika anda memindahkan rekod sedia ada ke sistem baharu, panduan migrasi data merangkumi cara mengekalkan jaring keselamatan sepanjang peralihan.

Kesilapan lazim

• Menganggap keselamatan "sudah termasuk". Kecuali ditulis dalam sebut harga, ia mungkin tidak termasuk.
• Mempercayai sandaran yang tidak pernah dipulihkan. Sandaran yang tidak diuji kerap gagal sehingga ia penting.
• Menyimpan sandaran hanya pada pelayan yang sama. Kegagalan pelayan kemudian membawa data dan salinan bersama.
• Berkongsi log masuk untuk jimat masa. Ia memusnahkan jejak audit dan menyukarkan pembuangan akses orang yang berhenti.
• Melangkau pengesahan dua langkah untuk pentadbir. Mereka memegang kunci kepada segala-galanya.
• Melog segala-galanya, atau tiada langsung. Pilih peristiwa yang penting.
• Menyerahkan keputusan data peribadi kepada pembangun. Apa yang anda kumpul dan simpan ialah keputusan perniagaan anda.
• Terlupa penghujung projek. Akses pembina dan salinan ujian lama perlu ditutup.

Kedudukan Gotka Technologies

Perkhidmatan Pembangunan Aplikasi & Sistem Gotka membina aplikasi mudah alih, aplikasi web dan sistem perniagaan, bermula dari RM8,000 untuk aplikasi web dan papan pemuka, RM12,000 untuk sistem perniagaan dan integrasi serta RM15,000 untuk aplikasi mudah alih sebagai petunjuk, masing-masing disahkan melalui sebut harga bertulis selepas keperluan anda dinilai. Panduan ini nasihat umum. Ia tidak menerangkan sebarang ciri keselamatan, susunan sandaran atau status pematuhan khusus bagi sistem yang dibina Gotka, jadi, seperti mana-mana pembekal, minta perkara di atas dinyatakan dalam sebut harga bertulis. Pelan pengehosan Gotka menyenaraikan sandaran harian dan SSL percuma sebagai ciri pelan; sama ada dan bagaimana sandaran terpakai kepada sistem tersuai ialah perkara untuk dipersetujui dalam sebut harga, bukan sesuatu yang dijanjikan oleh panduan ini. Pasukan boleh dihubungi melalui halaman hubungi.

Istilah utama dalam panduan ini

• Jejak audit (log audit): rekod automatik tentang siapa melakukan apa, pada rekod yang mana dan bila.
• Sandaran: salinan data yang disimpan berasingan supaya ia boleh dipulihkan jika yang asal hilang atau rosak.
• Ujian pemulihan: meletakkan semula sandaran ke dalam salinan ujian yang berasingan untuk membuktikan ia berfungsi dan mencatat masanya.
• Pengesahan dua langkah (2FA): bukti kedua, seperti kod aplikasi, yang diperlukan selain kata laluan.
• Peranan: set kebenaran yang diberikan kepada satu jenis pengguna, seperti pemilik, pengurus atau staf.
• HTTPS: sambungan disulitkan antara pelayar dan sistem, ditunjukkan oleh ikon mangga.
• Data peribadi: maklumat yang mengenal pasti seseorang, seperti nama, nombor telefon atau nombor kad pengenalan.
• Tempoh simpanan: berapa lama rekod atau entri log disimpan sebelum dibuang.