Przejdź do głównej zawartości

Zabezpieczenie dostępu do danych w systemie

W systemie WAPRO ERP istnieje szereg funkcjonalności, które klient (administrator danych osobowych lub podmiot przetwarzający dane) może wykorzystać, w celu zwiększenia stopnia zabezpieczenia dostępu do danych za pośrednictwem programu a w szczególności dostępu do danych osobowych.

System uprawnień​

Oprogramowanie WAPRO ERP realizuje wymaganie ochrony dostępu do danych zależnie od przynależności operatora do grupy uprawnień w systemie i uprawnień, jakie zostaną nadane grupie użytkowników. Odbywa się to w ten sposób, że administrator bezpieczeństwa wskazuje, które elementy aplikacji mają być niedostępne dla konkretnej grupy użytkowników. Zarządzanie kontami użytkowników i ich grupami odbywa się bezpośrednio w aplikacji a do modyfikacji uprawnień przypisywanych do poszczególnych ról/grup użytkowników przeznaczony jest, moduł uprawnień wbudowany w każdą aplikację z pakietu WAPRO ERP. Efektem jego działania jest definicja powiązań grup użytkowników z ich uprawnieniami. Definicja ta jest obowiązująca i wykorzystywana w czasie pracy aplikacji.

Uprawnienia nadawane są dla wybranych modułów (dostęp do całego modułu) lub jego wybranych fragmentów np. czynności w ramach danego modułu typu:

  • Dodaj
  • Popraw
  • Usuń
  • Operacje dodatkowe wykonywane w ramach danego modułu aplikacji

Ograniczenie kanałów dostępu, uwierzytelniania dostępu​

Standardowo aplikacja pracuje na dedykowanym koncie MS SQL, które realizuje całą logikę dostępu do danych zapisanych w bazie danych umieszczonej na serwerze MS SQL.

Istnieje możliwość skonfigurowania systemu w taki sposób aby użytkownik miał utworzone dedykowane konto w domenie Active Directory systemu Windows, które będzie wykorzystywane podczas logowania do aplikacji. Nastąpi wtedy uwierzytelnianie Windows w MS SQL podczas logowania się do aplikacji. W takim modelu obowiązują dwie warstwy uprawnień, jedna to warstwa dostępu w aplikacji dla użytkownika systemu np. WAPRO Mag Sprzedaż i magazyn a druga warstwa to dostęp loginu w serwerze bazy danych.

Siła hasła stosowanego przy uwierzytelnianiu standardowym (dostępna będzie od wersji 8.31.0)​

Administrator bezpieczeństwa ma możliwość określenia wymaganych atrybutów hasła użytkownika wpływających na moc hasła stosowanego przy uwierzytelnianiu.

Podstawowe "parametry hasła użytkownika" to:

  • Minimalna wymagana długość hasła,
  • Okres ważności hasła – po jego upłynięciu użytkownik będzie zmuszony do zmiany hasła,
  • Unikalność hasła (względem określonej liczby poprzednich haseł),
  • Złożoność hasła (czy hasło musi zawierać wielkie i małe litery oraz cyfry lub znaki specjalne),

Dzięki tym parametrom w Oprogramowaniu WAPRO ERP możliwe jest zaimplementowanie wybranych poziomów bezpieczeństwa dostępu:

  • Poziom podstawowy – wymaga się stosowania identyfikatora i hasła,
  • Poziom podwyższony – wymaga się stosowania identyfikatora i hasła składającego się z co najmniej 8 znaków, zawierającego małe i wielkie litery oraz cyfry lub znaki specjalne ważnego maksymalnie przez 30 dni,

Ograniczenie liczby jednoczesnych logowań do systemu​

Aplikacja nie zezwala na wielokrotne logowanie przy pomocy tego samego konta użytkownika z różnych stacji/sesji terminalowych i jednoczesną pracę w aplikacji.

Inne czynniki wpływające na bezpieczeństwo​

Na podwyższenie bezpieczeństwa wpływ mają także, opisywane wyżej w tym dokumencie aspekty takie jak:

  • Możliwość szyfrowania na nośniku fizycznym danych zawierających wrażliwe dane (przez mechanizmy MS SQL),
  • Zabezpieczenie serwera przed niespójnością danych,
  • Możliwość rejestrowania operacji na danych wykonywanych przez poszczególnych użytkowników. Opcja, która wymaga włączenia dla każdej z kartotek (dostępne od wersji 8.31.0).
  • Możliwość zabezpieczania archiwum bazy danych hasłem

Logowanie informacji związanych z bezpieczeństwem​

Standardowo informacje o logowaniu i wylogowaniu użytkowników są rejestrowane z logach aktywności systemu WAPRO ERP.

Zalecenia w zakresie bezpieczeństwa serwera bazy danych​

Oprogramowanie WAPRO ERP jest aplikacją typu klient-serwer i potrzebuje bezpośredniego dostępu do serwera bazy danych. Zaleca się aby serwer bazodanowy nie był dostępny w publicznej przestrzeni adresowej. Połączenia dla stanowisk znajdujących się poza organizacją firmy powinny być realizowane po uprzednim użyciu połączenia typu VPN.

Szczegółowe zalecenia dotyczące bezpieczeństwa serwerów SQL firmy Microsoft znajdują się w dokumentacji.

Zalecenia w zakresie bazy danych​

Zastosowanie macierzy dyskowych podnosi poziom bezpieczeństwa danych. Skonfigurowanie zapasowych dysków w macierzach dodatkowo podnosi poziom bezpieczeństwa. Zastosowanie mechanizmu RAID 10 wraz z dwoma dodatkowymi dyskami zabezpiecza dane w 95% przypadkach awarii bez konieczności instalacji systemu i odtwarzania danych z kopi bezpieczeństwa.

Zalecenia w zakresie kopi bezpieczeństwa​

Przechowywania archiwum bazy danych na innym nośniku oraz w innym miejscu niż jest zainstalowany system WAPRO ERP i wykorzystywana przez niego baza danych podnosi poziom bezpieczeństwa. Poziom bezpieczeństwa podnosi również zwiększenie ilości kopi bezpieczeństwa.

Pliki zawierające dane osobowe, np. kopie raportów, inne​

Dane osobowe, które są przetwarzane przez systemy WAPRO ERP mogą zostać zachowane: w postaci raportów, dokumentów, arkuszy kalkulacyjnych itp. zapisanych przez użytkownika jako pliki na różnych nośnikach. Klient powinien również takie przypadki uwzględnić w swoich procedurach i polityce ochrony danych osobowych.