当前位置:首页 > 新闻中心 > 行业动态

CRM实施,企业数据安全不容忽视

次浏览 2017/8/10 16:56:11

在信息化时代或者是数据时代,企业都会面临一个重大的问题,那就是信息数据的安全问题。企业在实现信息化战略的过程中,CRM是必不可少的。但是在CRM项目实施的过程中,如果没有考虑数据的安全,就很容易造成一些机密信息外泄。

对于企业来讲,机密信息外泄是一件很危险的事情,企业可能会因此而带来很多不必要的损失。因此,在实施CRM项目的时候,必须对与客户相关的信息,如客户联系方式,客户订单信息等敏感内容采取保护措施,以防外泄。那么,企业在实施CRM系统的时候,该如何来注意信息化的安全呢?

1、系统测试或模拟运行时,需注意权限的控制

在系统正式上线之前,往往需要对系统进行测试或者模拟运行,让员工熟悉系统的相关操作。在这个阶段,CRM实施顾问往往会建议企业向用户开通所有的模块,以让用户对于这套系统有一个全面的认识。

但是,这里可能给企业一个错误的理解。CRM实施顾问说开通所有的模块,并不是说,用户具有全部数据的访问权限。在实际工作中,企业在对系统进行测试或者模拟运行的时候,对数据访问基本上没有权限控制。如销售部门员工可以随意查询客户联系方式以及交易记录等信息。大家都知道,若销售员把这些信息泄露给企业的竞争对手的话,除非企业在这个产品上有其他生产厂家不可替代的优势或者技术,否则的话,其竞争对手很有可能通过价格战从企业手中夺取客户。

所以,在此建议,只要把基础数据导入到CRM系统之后,就需要在系统中实现对相关权限的控制。如只让其他部门的员工查询客户的名称,而不知道具体的联系方式;或者只能了解客户订单的交期以及下单的产品,而不能够知道具体的价格信息等等。这些权限的设计与系统的实现,一般来说,在基础数据导入的时候,就要在系统中实现。如此,员工才不能够乘这个过渡时期的空档,窃取企业的机密信息。

总之,一般来说,在基础数据导入到企业项目上线,这中间往往有一段权限管理真空期,而很多信息往往是在这个时间内泄漏的。所以,企业若现在正准备实施CRM项目,则在实施的过程中就需要注意这个问题。只要系统中一有数据,就要注意权限的访问控制了。

2、不能只对单据进行简单的读写控制

以前很多企业,认为只要做好单据读写控制就安全了。如销售员或者质量部员工能够查询订单信息,而不能够对其进行修改、删除或者新建等操作。或许,对于某些法律健全的国家,或者对于产品别人不可替代的企业来说,即使让其他员工看到这些信息也没有多大关系。但是,在国内的企业中,这么做风险往往会很大。员工很容易通过CRM系统知道企业和客户交易的价格等相关信息,然后卖给企业的竞争对手或者跳槽到竞争企业,以比原企业更低的价格来赢得这个客户。

所以,在CRM系统权限管理的时候,不能够只是一些简单的读写控制。读写控制虽然可以防止数据的非法修改,但是,不能够解决数据的泄露问题。为此,企业在CRM项目部署的时候,需要在读写控制的基础之上,对一些关键信息进行屏蔽。

如对于销售订单中交易价格来说,是一个比较敏感的信息,一般只有销售人员、以及负责应收帐款的人员可以访问。企业其他人员没有必要知道这方面的内容。所以,企业在权限设置的时候,可以让质量部门人员查询到销售订单的信息,但是,不能够让他们看到销售订单中的价格信息,包括销售单价、付款条件、销售总额等信息。在CRM系统中,往往可以进行相关的设置,如可以指定价格这个信息,只有哪些用户可以访问等等。

CRM系统提供了一个信息共享的平台,但是,企业用户在享受由此带来的工作便利的时候,也需要考虑到其可能带来的数据泄露的风险。

3、部门内部的权限,也需细分

有的企业在数据的访问控制上,会提出这么一个需求。在销售部门中,两个人为一组,每组负责不同的客户。在CRM系统中,他们希望各组的销售人员制能够看到自己负责客户的交易信息,而不能够看到其他组负责客户的交易信息。但是,销售总监则可以看到所有客户的信息。

虽然这种需求的客户可能不多,因为这个安全性级别有点高。但是,可以看出,提出这种需求的企业对于信息化安全的态度是非常严谨的。不仅部门之间的访问权限需要严格控制,就算本部门之间的数据访问权限也不能小视。

对于部门内部的权限设计,一般需要考虑如下几个方面。

一、防止其他人员修改自己的纪录。也就是说,自己的记录自己负责,别人最多只能够查询,而不能够进行更改,就算是自己部门的人员也必须遵守。如此的话,可以保证系统中的内容跟所有者人心中的数据是一致的。在CRM系统中,一般有一个“个人专有”的选项。若选中这个选项的话,就表示只有本人可以对这条数据进行修改或者删除,其他人对这条记录制能够查询。

二、限制其他人员查询自己的记录。有些企业可能权限控制比较严格,某个员工所做的单据,除了指定的人员外,其他员工不能够进行访问。最常见的,如销售员甲只能够访问自己所建的信息,而对于其他销售人员的信息,无法访问,更加无法更改。对于这个需求,可以通过“排他访问”来进行控制。选择这个选项之后,除非我们制定的特殊人员,否则的话,其他人都不能够访问这个信息。这个权限控制的比较严格,在使用的时候,需要谨慎一点。

4、系统管理员权限,需要额外注意

有的企业在实施项目的时候,对于下面员工的权限控制的很好,每个员工具有访问哪些数据的权限,都设置的很清楚。但是,对于企业的系统管理员却忽视了。为了管理的方便,企业的系统管理员往往具有整个系统的访问权限。在实际工作中,不仅各个业务部门的工作人员会出卖企业的信息以谋取私利。作为系统管理员,其也不是十全十美的,也会在利益的诱惑下,做类似的事情。

所以,对于系统管理员,企业也要对此进行严格的权限控制。

如区域在做CRM设计的时候,可以把系统管理员角色与实体角色分离开来。系统管理员角色不能够访问业务信息,而只能对一些系统的作业操作,如数据库备份、单据调整、报表设计等等,而无法查询各个单据的具体内容。这主要就是为了杜绝系统管理员去访问一些业务信息。也就是说,只要把系统管理员设置为管理员的角色,而不需要进行其他额外的设置,就可以达到这个需求。

5、用户账户与密码的保护措施

权限的设计都是基于用户名账户展开的。如果用户的登陆账户与密码泄露的话,再怎么设计访问机制,也是徒劳的。所以在权限控制方面,还需要从保护账户与密码开始做起。在实际工作中,很多系统管理员喜欢为用户配置好用户名与密码,并且不允许用户进行修改,其实,这不是很合理。特别是有些管理员喜欢设置一个统一的密码,这就让不法之徒就有机可乘了。

因此,在对员工建立账号的时候,可以借鉴Windows操作系统的管理机制。新建立用户后,初始化一个密码。然后设定为“用户下次登陆系统之前必须重新修改密码”。如此的话,用户在下次登陆系统的时候,不得不重新修改密码,从而保证避免的唯一性,只有用户自己知道密码的所在。从而防止企业用户假借某个用户的名字登陆系统,做一些破坏性的工作。

总结

信息化安全问题是一个很重要的问题,稍有不慎就会给企业带来重大的损失。所以,必须要引起企业足够的重视。企业在做CRM项目实施的时候,就必须要对信息数据安全进行充分的考虑。对一些敏感内容做好防护措施,尽量做到防患于未然。

(部分图文取自网络,如有侵权请联系删除)

分享: