CRM и персональные данные: права доступа, аудит и чистка базы
CRM — главное хранилище персональных данных клиентов: контакты, история сделок, переписка, иногда документы. Утечки отсюда типичны: менеджер выгружает всю базу перед уходом, права выданы «всем», старые записи копятся годами, дубликаты не позволяют выполнить запрос на удаление. Ниже порядок наведения порядка в CRM: что хранится, кто что видит, что журналируется и когда данные удаляются.
Статья опирается на логику направления «Безопасность данных» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Принципы обработки данных (объём по целям, точность, ограниченное хранение) закреплены в статье 5 152-ФЗ (база «Гарант»).
Что должно получиться
| Уровень | Что это значит на практике |
|---|---|
| 1. Базовый | Известно, где хранятся важные и персональные данные; резервные копии существуют |
| 2. Гигиенический | Данные классифицированы, доступ ограничен и журналируется, срок хранения и удаление определены |
Критерии сформулированы нами по мотивам методики, это ориентир, а не оценка соответствия.
Шаг 1. Инвентаризация данных в CRM
- Какие поля и объекты содержат ПДн: контакты, документы, заметки, вложения, записи звонков.
- Откуда данные: формы сайта, импорт, ручной ввод, интеграции, партнёры.
- Какие интеграции подключены (почта, телефония, рассылки, аналитика, чаты) и что они получают: чаты и мессенджеры.
- Сколько субъектов и в каких регионах: это влияет на уровень защищённости системы: модель угроз и уровни.
Лишние поля уберите: чем меньше данных, тем меньше риск и обязанностей.
Шаг 2. Роли и права
| Роль | Права |
|---|---|
| Менеджер | Видит и редактирует только свои сделки и клиентов; не имеет права массового экспорта |
| Руководитель отдела | Видит данные своего отдела и отчёты; экспорт по заявке |
| Маркетолог | Видит обезличенные или агрегированные данные; контакты только для согласованных рассылок |
| Поддержка | Видит историю обращений клиента; без финансовых данных, если они не нужны |
| Администратор CRM | Управляет настройками и учётными записями; не работает с данными клиентов без необходимости |
| Руководство и ИБ | Видят отчёты и журнал действий |
Принцип минимума: каждому только то, что нужно для работы: управление доступом. Входы в CRM только через личные учётные записи с MFA, единый вход через корпоративный каталог.
Шаг 3. Ограничения на экспорт и копирование
- Массовая выгрузка (всех клиентов, больших списков) доступна только узкому кругу и по заявке; каждая выгрузка записывается в журнал.
- Лимит записей в одной выгрузке и ограничения на столбцы с контактами.
- Запрет подключения неразрешённых интеграций и расширений браузера, имеющих доступ к CRM.
- Токены API с минимальными правами, срок действия и ответственный; регулярный отзыв неиспользуемых.
- Разрешённые каналы передачи выгрузок, шифрование файлов: шифрование данных.
Шаг 4. Журнал и оповещения
| Событие | Реакция |
|---|---|
| Массовый экспорт, много просмотров карточек за короткое время | Оповещение ответственному; проверка причины |
| Изменение ролей и прав, создание администраторов | Запись в журнал безопасности, оповещение |
| Вход из необычных мест и устройств, неудачные попытки входа | Блокировка и проверка |
| Создание токенов и интеграций | Согласование и запись |
| Действия уволенных сотрудников (попытки входа) | Немедленное расследование: первые 24 часа |
Журнал CRM выгружайте в систему сбора и храните отдельно от приложения: журналы ИСПДн, сбор логов.
Шаг 5. Срок хранения и чистка базы
- Определите срок хранения для каждой категории клиентов: действующие, неактивные, не заключившие сделку, отказавшиеся. Срок зависит от цели и договора; бессрочное хранение «на всякий случай» противоречит принципу ограниченного хранения.
- Раз в квартал находите неактивные записи (нет сделок и обращений дольше установленного срока) и удаляйте или обезличивайте: обезличивание ПДн.
- Объединяйте дубликаты: иначе запрос на удаление или исправление выполнить не удастся.
- Проверяйте актуальность и точность данных там, где они влияют на решения: статья 5 требует точности и актуальности.
- Удаляйте данные из резервных копий и интеграций по тому же правилу: уничтожение ПДн.
Пример запроса для поиска неактивных клиентов в SQL-базе (названия таблиц и полей замените своими; запрос ничего не меняет, сначала проверьте результат):
SELECT c.id, c.created_at, MAX(d.updated_at) AS last_activity
FROM clients c
LEFT JOIN deals d ON d.client_id = c.id
GROUP BY c.id, c.created_at
HAVING COALESCE(MAX(d.updated_at), c.created_at) < CURRENT_DATE - INTERVAL '3 years';Что должно получиться: список клиентов без активности за три года. Дальше решение: удалить, обезличить или оставить, если есть обязанность хранить по закону или договору. Перед удалением сделайте копию и убедитесь, что запись не нужна для спора или отчётности.
Шаг 6. Запросы субъектов и удаление
CRM должна позволять быстро найти все данные клиента, исправить их и удалить: запросы субъектов ПДн. Настройте поиск по почте, телефону и имени, учитывайте связанные объекты (сделки, документы, переписки, звонки) и интеграции. Для отказавшихся от рассылок храните отметку об отказе отдельно, чтобы не вернуть человека в базу: рассылки и ПДн.
Подрядчик CRM и облако
Облачная CRM — это поручение обработки данных подрядчику: договор, проверка места хранения, уведомление об инцидентах, выход из сервиса: поручение обработки, облачные сервисы и ПДн.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Менеджеры видят всю клиентскую базу | Права выданы по умолчанию. Настройте роли и видимость по принадлежности |
| Уволившийся менеджер унёс базу | Нет ограничений экспорта и журнала. Введите лимиты, оповещения, быстрый отзыв прав |
| Не получается удалить клиента: он всюду | Данные размазаны по интеграциям и дубликатам. Составьте карту интеграций, объедините дубликаты |
| В CRM данные пятилетней давности без сделок | Нет политики хранения. Утвердите сроки и настройте регулярную чистку |
Где это в модели зрелости
Материал относится к направлению «Безопасность данных» (материалы направления, карта зрелости). Уровень 2 предполагает классификацию данных, контроль доступа и определённые сроки хранения; CRM — типичная система, на которой это проверяют в первую очередь.
Как проверить
- Составлена карта данных CRM и интеграций; лишние поля и интеграции удалены.
- Роли и права настроены по принципу минимума, массовый экспорт ограничен и журналируется, вход с MFA.
- Оповещения на экспорт, смену прав и необычные входы настроены, журнал хранится отдельно.
- Определены сроки хранения, чистка неактивных записей проводится по расписанию, запросы субъектов выполняются в срок.
Источники
- Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.
- Федеральный закон от 27.07.2006 № 152-ФЗ «О персональных данных», статья 5: КонсультантПлюс. Проверяйте действующую редакцию.
- NIST SP 800-53 Rev. 5, семейства AC и AU (доступ и аудит): csrc.nist.gov. Международная практика, не российский норматив.
