La versione On-Premise di Bitrix24 funziona nell’infrastruttura dell’azienda, quindi è necessario proteggere i server, la rete e i dispositivi dei dipendenti. Gli strumenti di sicurezza esterni consentono di bloccare le richieste sospette, controllare la presenza di virus nei file caricati, prevenire la fuga di dati aziendali e rilevare gli attacchi informatici.

Scegliere gli strumenti di sicurezza

Gli strumenti necessari dipendono dai dati dell’azienda, dalle modalità con cui i dipendenti accedono a Bitrix24 e dai requisiti di sicurezza delle informazioni. La configurazione degli strumenti di sicurezza per Bitrix24 può essere affidata allo specialista della sicurezza informatica dell’azienda o a un partner Bitrix24.

Filtrare le richieste in entrata con un WAF

Un Web Application Firewall (WAF) controlla le richieste in entrata verso Bitrix24 e blocca quelle sospette prima che raggiungano il server. Ad esempio, può impedire i tentativi di inserire codice dannoso tramite un modulo web.

Installa il WAF davanti ai server web: gli utenti si collegano al WAF, mentre i server Bitrix24 accettano richieste solo da quest’ultimo. L’architettura di Bitrix24 può includere server aggiuntivi, ad esempio Push&Pull per i messaggi istantanei. Durante l’integrazione del WAF, verifica che il traffico venga instradato correttamente. Considera inoltre le prestazioni del WAF e configura eccezioni per le videochiamate e altri servizi di streaming che richiedono una larghezza di banda elevata.

Aspetti da considerare:

• Inizia dalla modalità di monitoraggio. Un WAF dispone di due modalità: quella di monitoraggio registra soltanto le richieste sospette, mentre quella di blocco le rifiuta. In questo modo puoi individuare le operazioni legittime dei dipendenti che il firewall considera erroneamente sospette e configurare le eccezioni.
• Configura regole per i moduli di accesso, la sezione di amministrazione, il caricamento dei file e le integrazioni. Le regole devono proteggere queste aree senza bloccare il caricamento dei file, lo scambio di dati con le integrazioni o le operazioni in background.
• Limita l’accesso alla sezione di amministrazione. Consentilo solo dalla rete interna dell’azienda o tramite una connessione protetta, ad esempio una VPN.
• Conserva i registri delle regole attivate. Raccoglili insieme agli altri eventi di sicurezza, ad esempio in un sistema SIEM descritto più avanti. In questo modo sarà più semplice analizzare gli incidenti.

Puoi utilizzare un WAF esterno insieme al Filtro proattivo. Il Filtro proattivo è integrato in Bitrix24 ed è progettato per funzionare insieme a un WAF.
8 livelli di protezione di Bitrix24

Se non puoi aggiornare immediatamente Bitrix24, un WAF può aiutare a bloccare alcuni attacchi che sfruttano vulnerabilità note. È comunque necessario installare l’aggiornamento: un WAF non corregge le vulnerabilità e non garantisce una protezione completa.

Controllare la presenza di virus nei file

Installa un software antivirus sul server per impedire che i file infetti raggiungano altri utenti. L’antivirus controlla documenti, immagini e archivi caricati dai dipendenti in Bitrix24.

Aspetti da considerare:

• Controlla la presenza di virus nei file caricati. L’analisi degli archivi può ridurre le prestazioni, quindi imposta limiti per la profondità della scansione e le dimensioni degli archivi.
• Per i file principali di Bitrix24 e il codice personalizzato, utilizza il controllo dell’integrità, il rilevamento delle modifiche e le scansioni programmate.
• Crea eccezioni solo per i dati di servizio, ad esempio i file temporanei della cache e i registri. Solo l’account di sistema deve disporre dell’autorizzazione per modificare questi dati.

Prevenire la fuga di dati con un sistema DLP

Un sistema Data Loss Prevention (DLP) aiuta a impedire che i dati importanti escano dall’azienda. Ad esempio, quando è integrato con Bitrix24, può rilevare o bloccare il tentativo di inviare tramite e-mail un database di clienti a un indirizzo personale.

Aspetti da considerare:

• Prima di scegliere un sistema DLP, individua i dati più importanti per l’azienda e i canali utilizzati dai dipendenti per condividerli.
• A seconda della soluzione, il sistema DLP può controllare le e-mail in uscita, i file salvati sui dispositivi locali o i dati esportati da Bitrix24.
• Puoi configurare il sistema DLP utilizzando una soluzione pronta del fornitore oppure una soluzione personalizzata sviluppata da un partner Bitrix24.

Raccogliere e analizzare gli eventi di sicurezza con un SIEM

Un sistema SIEM raccoglie in un unico punto gli eventi di sicurezza provenienti dai diversi servizi utilizzati dall’azienda. In questo modo puoi individuare più rapidamente le attività sospette, ad esempio numerosi tentativi di accesso non riusciti, e analizzare gli incidenti.

Puoi inviare a un sistema SIEM i seguenti dati di Bitrix24:

• Registro eventi: contiene i tentativi di accesso, le azioni degli utenti e gli errori di sistema registrati da Bitrix24.
• Registri del server web: contengono errori che potrebbero non essere presenti nel Registro eventi.
• Registri degli aggiornamenti e delle copie di backup: aiutano a individuare modifiche impreviste ai file.
• Stato delle operazioni in background: un’operazione bloccata potrebbe non generare alcuna notifica.

Per inviare questi dati a un sistema SIEM, configura dei connettori: script che leggono i file di registro e inviano le informazioni, generalmente tramite il protocollo syslog.

Gestire gli account e l’accesso unico (SSO)

La gestione centralizzata degli account consente di amministrare gli account utente in un’unica directory, applicare regole uniformi per le password e revocare rapidamente l’accesso quando un dipendente lascia l’azienda.

A seconda della versione e della configurazione utilizzate, Bitrix24 On-Premise offre le seguenti opzioni integrate:

• Integrazione con Active Directory e LDAP. Active Directory e gli altri servizi di directory che utilizzano il protocollo LDAP archiviano gli account dei dipendenti dell’azienda. Bitrix24 si collega alla directory e sincronizza gli account dei dipendenti e, se necessario, la struttura aziendale.
  Integrare Bitrix24 con Active Directory e LDAP
• Accesso automatico al dominio tramite NTLM. I dipendenti che hanno già effettuato l’accesso al computer di lavoro con un account di dominio possono aprire Bitrix24 senza inserire nuovamente la password.
• Autenticazione a due fattori.

Per altri metodi di accesso, ad esempio un servizio aziendale di accesso unico (SSO), puoi trovare soluzioni pronte nel Market.
App Bitrix24

Gestire i dispositivi mobili con un sistema MDM

L’app mobile Bitrix24 è uno strumento di lavoro, proprio come un computer aziendale: i dipendenti la utilizzano per accedere a messaggi, documenti, incarichi e dati del CRM. È quindi necessario proteggere anche i dispositivi. A questo scopo, utilizza uno strumento di gestione dei dispositivi mobili, o Mobile Device Management (MDM).

Un sistema MDM consente di:

• bloccare il trasferimento dei dati di lavoro nelle app personali,
• escludere i dati di lavoro dalle copie di backup del dispositivo,
• revocare l’accesso in caso di smarrimento del dispositivo, rimuovendo le impostazioni VPN e i certificati e terminando le sessioni attive,
• consentire sui dispositivi aziendali solo Bitrix24 e le altre app necessarie, ad esempio la fotocamera e un’app per visualizzare i documenti.

Configura regole MDM separate per i diversi gruppi di dispositivi: dispositivi personali dei dipendenti, telefoni aziendali e terminali condivisi.

Un sistema MDM non sostituisce le autorizzazioni di accesso di Bitrix24. Anche se sul telefono viene utilizzato solo Bitrix24, è comunque necessario configurare le autorizzazioni in Bitrix24.
Proteggi i dati nell’app mobile di Bitrix24

Proteggere il codice personalizzato

Se Bitrix24 contiene codice personalizzato, proteggi anche quest’ultimo. Utilizza gli strumenti di sicurezza integrati di Bitrix Framework, la piattaforma su cui è basato Bitrix24. Questi strumenti aiutano a prevenire gli attacchi più comuni, ad esempio i tentativi di inserire codice dannoso nelle pagine o nelle query del database.

Configurare gli strumenti di sicurezza

La configurazione degli strumenti di sicurezza esterni richiede una pianificazione separata. Non esiste una soluzione universale: la configurazione dipende dalla versione e dall’edizione di Bitrix24, dalla rete, dalle integrazioni e dalle funzionalità dello strumento scelto. Pianifica la configurazione insieme a un partner Bitrix24 che abbia esperienza sia con Bitrix24 sia con gli strumenti di sicurezza che intendi utilizzare. Cerca un partner nella directory e seleziona On-Premise nel filtro Versione del prodotto.
Trova un partner per l’implementazione

Procedura per attivare gli strumenti di sicurezza:

1. Raccogli i dati iniziali per il partner. Indica chi accede a Bitrix24 e da dove: da internet o dalla rete interna. Elenca i dati importanti per l’azienda e le integrazioni attive.
2. Scegli gli strumenti di sicurezza con il partner. Confronterà le funzionalità delle soluzioni con i requisiti dell’azienda e proporrà quelle più adatte.
3. Progetta l’integrazione. Il partner deve considerare le specificità del tuo ambiente IT, le configurazioni dei componenti di sistema, i requisiti normativi e la documentazione interna sulla sicurezza informatica.
4. Esegui i test. Verifica che gli strumenti di sicurezza non blocchino le attività necessarie e non rallentino Bitrix24. Per esempio, lascia il WAF in modalità di monitoraggio per alcune settimane e analizza tutti i falsi positivi. Se non hai un server di test, concorda con il partner dove eseguire la verifica.
5. Avvia la soluzione nell’ambiente di produzione. Rivedi periodicamente le configurazioni e le regole di funzionamento degli strumenti di sicurezza quando cambia l’infrastruttura IT.

Al termine del progetto, dovresti avere la documentazione sullo schema di protezione, i risultati dei test e le istruzioni per gli amministratori.