今年 7 月，英國一家慈善 CRM 廠商發生資安事件，雲端金鑰暴露在公開的 JavaScript 檔案中，1,500 家組織的用戶資料，包含姓名、電話、電子郵件與地址都受到外洩影響。
這起事件，是由於雲端金鑰暴露在公開的 JavaScript 檔案中，讓攻擊者得以利用金鑰存取雲端資料庫，取得大量個資，甚至可能冒充組織向捐款人募款或進行釣魚。
面對這樣的資安風險，組織只能仰賴系統廠商保護資料嗎？其實，除了廠商的安全防護，組織日常的帳號管理與資料使用習慣，同樣是守護支持者資料的重要關鍵。
netiCRM 如何保護組織資料？
從資料傳輸加密、獨立資料庫、加密備份，到異常流量偵測與阻斷，netiCRM 都建立了多層次的安全防護，並持續進行系統修補與維護。
此外，我們從 2024 年起也通過 ISO 27001:2022 資訊安全管理系統認證，並投保資料保護保險。在帳號、操作與交易安全方面，netiCRM 也提供多項防護機制：
- 兩步驟驗證：自 2022 年起，管理帳號全面強制啟用，降低帳號遭盜用的風險。
- 安全管理與稽核：透過「安全中心」與「安全稽核紀錄」，協助組織檢查帳號權限、追蹤重要操作。
- 信用卡資料保護：交易由金流廠商處理，netiCRM 不儲存信用卡卡號。
想進一步了解，可以參考：netiCRM 資訊安全規劃
組織可以主動做好的四件事
一、每個人使用自己的帳號，離職當天就停用
避免共用帳號，確保操作紀錄可追蹤，也防止離職人員繼續存取資料。
二、確認兩步驟驗證已啟用
即使密碼外流，也能透過額外驗證降低帳號遭盜用的風險。
三、只給需要的角色適當權限
例如只負責電子報的同事，不需要查看全部捐款人資料，降低帳號遭入侵時的資料外洩範圍。
四、匯出的名單用完就刪除
避免留下無人管理的資料副本；若需要長期保存，務必加密並控管存取權限。
現在就到「安全中心」檢查！
netiCRM 的「安全中心」會提醒管理員注意高風險帳號、過高的角色權限等安全事項。
最高層級管理員可以點選系統工具列上帶有數字的盾牌圖示，或在站台網址後加上 「/neticrm/security-review」，即可進入查看。
系統端的安全由我們持續把關，帳號與權限的管理，則需要組織一起落實。
現在就花幾分鐘檢查，為支持者資料多加一道保障！
