クラウド ERP におけるデータ セキュリティ: 要求すべきもの

本当のリスク: 現在の状況と比較してください

平均的な非クラウド ビジネスのリスク インベントリ: 重要な情報は 2 ～ 3 台のコンピューター上にあり、自動バックアップはありません (1 台のディスク障害 = 年単位の損失)、ファイルは WhatsApp と電子メールを介して行き来し、チームで共有されるものすべてに同じパスワードが使用され、誰が何を閲覧または変更したかの記録はゼロです。

本格的なクラウド プロバイダーは、認定されたインフラストラクチャ、継続的なバックアップ、暗号化、24 時間年中無休の監視、専任のセキュリティ チームなど、ほとんど中小企業が単独で提供できないものをすぐに解決します。適切に選択されたクラウドはリスクではなく、軽減策です。

技術チェックリスト: サプライヤーへの 6 つの質問

• 1. 転送中も保存中も暗号化しますか? (サーバーへの HTTPS/TLS、およびディスク上の暗号化データ)。答えは迷わず両方とも「はい」でなければなりません。
• 2. 自動バックアップの頻度と保存期間はどれくらいですか?そして、どれくらいの頻度で復元を試みますか?決して証明されていない支持は、支持ではなく希望です。
• 3. 役割によるアクセス制御?各ユーザーは自分のアカウントを持ち、機能ごとの権限 (レジ担当者は給与計算を参照しません)、および 2 要素認証が利用可能です。
• 4. 監査ログ?誰が入ったのか、何を見たのか、何がいつ変わったのか – 内部の問題に直面した場合に不可欠です。
• 5. データはどこに保管され、どのような認証に基づいて保存されますか? (SOC 2 / ISO 27001 標準を備えたデータセンター)。
• 6. 退職する場合、すべてのデータをエクスポートできますか?ポータビリティはセキュリティです。ユーザーをロックインするプロバイダー自体がリスクです。

法的遵守: 個人データはオプションではありません

貴社のシステムには顧客と従業員の個人データが保存されており、これにより法的義務が発動されます。メキシコでは LFPDPPP (プライバシーに関する通知、セキュリティ対策、ARCO の権利)、および地域全体で同等の義務が課せられます。機密データ (健康など) には強化された保護が必要です。

実際には、プライバシーに関する通知が必要であり、必要なものだけを収集し、適切に保護し (ここではクラウド プロバイダーが味方です)、データへのアクセス、修正、削除を要求する人を支援できるようにする必要があります。過失による漏洩は罰金のほかに、より高価なもの、つまり顧客の信​​頼を損なうことをもたらします。

契約のあなたの役割: ギャップの 80% はドアから侵入します

• 実際の事件のほとんどは映画のハッキングではありません。脆弱なパスワードや共有パスワード、非アクティブ化されていなかった元従業員のアカウント、フィッシングメールのクリックなどです。
• 必須の最低限の衛生管理: マネージャーによる一意のパスワード、全員に対して有効化される 2 つの要素、誰かがチームを離れたその日のアクセスのキャンセル、実際の役割による権限 (「便宜上」所有者のアカウントで操作する人は誰もいません)。
• ログを時々チェックしてください。奇妙なアクセス (早朝、奇妙な場所) は、見ることで検出されます。
• フィッシングに関してチームを年間 30 分間トレーニングします。これは、最大の利益が得られるセキュリティへの投資です。

オーラの仕組み

Aura はこの工場標準に従って動作します。転送中および保存中の暗号化、自動バックアップ、モジュールごとに細かい役割と権限を持つ個別のアカウント、アクティビティ ログとデータを常にエクスポートできます。セキュリティはプレミアム プランではありません。セキュリティはプラットフォーム全体が実行される基盤です。

そして、最良の監査は自分で見ることです。14 米ドルの 14 日間のトライアルでは、実際のチームでユーザー、ロール、権限を構成し、誰が何を表示できるのか、何を実行できるのかを正確に確認できます。