स्टूडियो / एजेंसियों में सुरक्षा मुद्दों का अध्ययन

हाय, हेब्र! हाल ही में, हमने स्टूडियो और एजेंसियों के बीच एक सर्वेक्षण ( एक हब्र सहित) आयोजित किया और अब हम अपने अध्ययन के परिणामों की घोषणा कर रहे हैं।



Ruward और SiteSecure वेबसाइट सुरक्षा सेवा के एक अध्ययन के हिस्से के रूप में , अप्रैल 2014 में इंटरनेट परियोजनाओं के कस्टम-निर्मित विकास में विशेषज्ञता रखने वाले स्टूडियो और एजेंसियों के 270 से अधिक प्रतिनिधियों का एक सर्वेक्षण आयोजित किया गया था।



हम आपको परिणामों के बारे में अधिक बताएंगे:

1. क्या आपके स्टूडियो / एजेंसी के पास ग्राहक साइटों की सूचना सुरक्षा के लिए एक योग्य विशेषज्ञ है?

एजेंट बाजार में कंपनियों के तीन चौथाई से अधिक, सिद्धांत रूप में, एक विशेषज्ञ नहीं है जो आवश्यक प्रक्रियाओं को सेट कर सकता है और समस्याओं के त्वरित उन्मूलन के साथ मदद कर सकता है। हर पांचवें स्टूडियो में राज्य का एक समान विशेषज्ञ होता है (बेशक, यह स्थिति उच्च मूल्य खंड में जटिल परियोजनाओं के विकास में विशेषज्ञता वाली बड़ी कंपनियों की अधिक विशिष्ट है)।

2. क्या संगठन के पास ग्राहक साइटों की सुरक्षा (पासवर्ड की चोरी या चोरी, वायरस संक्रमण, साइट को ब्लैक लिस्टेड होने आदि) से संबंधित घटनाओं पर प्रतिक्रिया देने के लिए सुरक्षा नियम और प्रक्रियाएं हैं।

केवल 7% उत्तरदाताओं ने सुरक्षा घटनाओं के जवाब के लिए प्रक्रियाओं को स्पष्ट रूप से परिभाषित किया है, और आधे से अधिक कंपनियों का मानना ​​है कि समस्याओं के मामले में क्या करना है, इस बारे में "सार्थक समझ" है। लगभग एक तिहाई कंपनियों के पास ऐसे नियम नहीं हैं और वे ऐसी घटनाओं के शीघ्र समाधान के लिए तैयार नहीं हैं।



एक अर्थ में, यह मुद्दा समग्र बाजार की स्थिति का एक अच्छा संकेतक है। एजेंट बाजार कंपनियों का एक महत्वपूर्ण हिस्सा सुरक्षा मुद्दों पर ध्यान नहीं देता है या यह मानता है कि समस्या को "घटना पर" हल किया जा सकता है। ऐसा दृष्टिकोण ग्राहक परियोजनाओं की सुरक्षा के लिए एक महत्वपूर्ण खतरा है।

3. क्या एक रोजगार अनुबंध उन कर्मचारियों के साथ गोपनीयता और सुरक्षा नियमों पर हस्ताक्षर करता है जिनके पास होस्टिंग, सीएमएस और ग्राहक साइटों की सामग्री से पासवर्ड तक पहुंच है?

लगभग 60% स्टूडियो / एजेंसियां ​​अपने कर्मचारियों के साथ एक समझौते पर हस्ताक्षर नहीं करती हैं जो सुरक्षा और गोपनीयता नियमों का अनुपालन करेगा। कई मायनों में, इसका मतलब है कि समस्याओं के मामले में, स्टूडियो स्वयं ही मुख्य जोखिम उठाता है, क्योंकि साइट पर विकसित / बनाए रखने वाली कंपनी के लिए महत्वपूर्ण संख्या में ग्राहक के दावों को प्रस्तुत किया जाता है।

4. क्या आपकी कंपनी द्वारा आपकी साइट और डेटा की सुरक्षा सुनिश्चित करने पर क्लाइंट के साथ अनुबंध किया गया है?

दो-तिहाई से अधिक कंपनियां ग्राहकों के साथ अनुबंध में संबंधित खंड में प्रवेश नहीं करती हैं।



हम यह नोट करना चाहेंगे कि इस मामले में स्टूडियो न केवल औपचारिक रूप से जोखिम से मुक्त हो गया है, बल्कि अतिरिक्त नुकसान भी उठा सकता है। इस तरह की वस्तुओं की अनुपस्थिति में, यह न केवल औपचारिक रूप से बताया जाता है कि एजेंसी को इसके लिए क्या जिम्मेदार होना चाहिए, बल्कि यह भी नहीं होना चाहिए (उदाहरण के लिए, होस्टिंग प्रदाता के पक्ष में दबाव डालना)। चूंकि रिश्तों पर भरोसा करने के स्तर पर एजेंट बाजार पर बहुत सी चीजें बनाई जाती हैं, एक घटना की स्थिति में, क्लाइंट अनुबंध की परवाह किए बिना स्टूडियो से संपर्क करता है, और एक क्लॉज की अनुपस्थिति जिसके बारे में ठेकेदार जिम्मेदार नहीं है, के लिए एक अनुचित दावे और ग्राहक के साथ संबंधों के बिगड़ने के आधार के रूप में सेवा कर सकते हैं।

5. क्या पासवर्ड नीति लागू होती है: पासवर्ड जटिलता, पासवर्ड बदलने पर नियंत्रण, समझौता करने के लिए प्रतिक्रिया, एक जिम्मेदार व्यक्ति को असाइन करने की आवश्यकताएं?

पासवर्ड नीति के दृष्टिकोण से, स्थिति थोड़ी बेहतर है - प्रत्येक चौथी कंपनी ने स्पष्ट रूप से नियमों को परिभाषित किया है, और एक और आधा उनकी गतिविधियों में पासवर्ड नीति के विभिन्न तत्वों का उपयोग करता है। इसी समय, कंपनियों का एक चौथाई सिद्धांत में है, ऐसे मुद्दों की देखभाल करने के लिए इच्छुक नहीं हैं।



इस तरह के विनियमन / प्रक्रिया की शुरूआत एजेंसी के लिए लगभग कोई लागत नहीं है, और हम दृढ़ता से अनुशंसा करते हैं कि वे कंपनियां जहां अभी तक यह तय नहीं किया गया है कि वे उचित उपाय करें - इससे स्टूडियो और क्लाइंट दोनों के लिए विभिन्न खतरों के जोखिम में काफी कमी आएगी। हम यह भी अनुशंसा करते हैं कि आप एजेंसी के साथ बातचीत करने वाले ग्राहक प्रतिनिधियों के लिए नियमों के इस सेट को सूचित करें।

6. ग्राहक साइटों की विश्वसनीय संचालन और सुरक्षा सुनिश्चित करने के लिए आप निम्नलिखित में से क्या उपाय करते हैं?

सूचीबद्ध सुरक्षा उपायों में से, सबसे आम डेटा बैकअप (80% से अधिक) है। यह ध्यान देने योग्य है कि जो एजेंसियां ​​इस प्रथा का सहारा नहीं लेती हैं वे न केवल सुरक्षा से संबंधित मुद्दों के लिए महत्वपूर्ण हैं, बल्कि विशुद्ध रूप से तकनीकी प्रकृति (उपकरण विफलता, डेटा हानि) के मुद्दों के लिए भी हैं।



लगभग दो-तिहाई कंपनियां अपने प्रोजेक्ट बेड़े की उपलब्धता की लगातार निगरानी करती हैं। उपलब्धता की निगरानी के लिए नि: शुल्क और कम लागत वाली स्वचालित सेवाओं की बड़ी संख्या को देखते हुए, यह उच्चतम संकेतक नहीं है - बाजार के एक तिहाई खिलाड़ी निगरानी समस्याओं की इस सरल और बुनियादी विधि की उपेक्षा करते हैं।



कंपनियों के आधे से भी कम साइट में परिवर्तन की शुरूआत को नियंत्रित करते हैं और खोज इंजन द्वारा साइटों को अवरुद्ध करने की निगरानी करते हैं। छिपे हुए लिंक और पुनर्निर्देश के लिए बस एक तिहाई से अधिक की जाँच करें; एक तिहाई से कम कंपनियां नियमित रूप से वायरस के लिए परियोजनाओं की जांच करती हैं और केवल हर छठी एजेंसी डीडीओएस सुरक्षा सेवाओं के साथ ग्राहकों को प्रदान करती है।

7. अपने ग्राहकों की परियोजनाओं की दक्षता सुनिश्चित करने के लिए आप क्या कार्य करते हैं?

ग्राहक के प्रति जिम्मेदारी वाले क्षेत्रों द्वारा वितरण पिछली अनुसूची के संदर्भ में विशेष रूप से उत्सुक है - औसतन, कंपनियां वास्तविक कार्यों को करने की तुलना में अधिक दायित्वों को मानती हैं।

8. निम्नलिखित में से कौन सा कथन आपकी स्थिति के लिए सबसे उपयुक्त है?

एजेंसी बाजार में केवल 16% खिलाड़ी अपनी परियोजनाओं की सुरक्षा के लिए पूरी तरह से आश्वस्त हैं। लगभग आधी कंपनियां समस्याओं को स्वीकार करती हैं, लेकिन ज्यादातर मामलों में वे ग्राहक के व्यवसाय के लिए परिणाम आने से पहले उन्हें हल करने का प्रबंधन करती हैं।



और कंपनियों के एक तिहाई से अधिक स्वीकार करते हैं कि वे अपने ग्राहकों की साइटों की सुरक्षा सुनिश्चित करने में कुछ कठिनाइयों का अनुभव करते हैं - ग्राहकों के साथ समस्याओं के संदर्भ में और अचानक समस्या के त्वरित समाधान पर खर्च किए गए संसाधनों के संदर्भ में।

9. क्या आपने सुरक्षा समस्याओं के बारे में ग्राहकों की शिकायतों के साथ पिछले एक साल में समस्याओं का सामना किया है?

40% वेब स्टूडियो और एजेंसियां ​​एक तरह से या किसी अन्य ने पिछले एक साल में सुरक्षा मुद्दों का अनुभव किया है। यह एक बार फिर से हमारे अध्ययन में संबोधित मुद्दों की प्रासंगिकता की पुष्टि करता है।

10. क्या ऐसे मामले हैं जब किसी परियोजना के विकास के लिए निविदा के हिस्से के रूप में, आपको सुरक्षा मुद्दों के बारे में बात करने के लिए अलग से कहा जाता है?

लगभग 60% स्टूडियो ग्राहकों की निविदाओं का सामना नहीं करते हैं कि कंपनी में सुरक्षा के मुद्दे कैसे व्यवस्थित किए जाते हैं।

एक ओर, यह इन मुद्दों की एक निश्चित निष्क्रियता और निम्न ग्राहक जागरूकता को इंगित करता है (समस्या की उच्च प्रासंगिकता के बावजूद)।



दूसरी ओर, यह उन कंपनियों को अपनी संबंधित प्रक्रियाओं में एक अतिरिक्त विपणन लाभ प्रदान करता है - जो कि प्रीले पर पहल और प्रतियोगियों के खिलाफ ग्राहक पर इस पहलू के वास्तविक होने के मामले में।

प्रतिसाद प्रोफ़ाइल

इसके अलावा, अध्ययन के हिस्से के रूप में, उत्तरदाताओं की प्रोफाइलिंग की गई, जिसने बाजार पर सामान्य स्थिति के करीब वितरण दिखाया, जो केवल परिणामों की सामान्य प्रतिनिधित्व की पुष्टि करता है।

11. आपके स्टूडियो / एजेंसी में कितने कर्मचारी हैं?

12. इंटरनेट परियोजनाओं को विकसित करने के दृष्टिकोण से, आप किस प्रकार की साइटों में अधिक विशेषज्ञ हैं?

13. आप कहाँ स्थित हैं?

निष्कर्ष और सिफारिशें

अध्ययन का मुख्य निष्कर्ष यह तथ्य है कि अधिकांश स्टूडियो / एजेंसियां ​​सुरक्षा पहलुओं को अपनी गतिविधियों के लिए प्रासंगिक नहीं मानते हैं और इन मुद्दों से जुड़ी प्रक्रियाओं पर ध्यान नहीं देते हैं। फिर भी, जैसा कि हमारे पिछले अध्ययन से पता चलता है, समस्या बहुत प्रासंगिक है। उदाहरण के लिए, रनेट पर हर सातवीं वेबसाइट पर सुरक्षा समस्याओं के कारण वित्तीय नुकसान का खतरा है।

एजेंसियों / स्टूडियो को सिफारिशें

• प्रक्रियाओं के संगठन के दृष्टिकोण से कमजोरियों की जांच करें (उदाहरण के लिए, प्रश्नों की सूची के अनुसार - हमारे अध्ययन में ऊपर वर्णित चेकलिस्ट) - और सुरक्षा पहलुओं से संबंधित मुद्दों के क्रमिक सुधार के लिए एक योजना बनाएं।
  
  
  
  
• एजेंसी द्वारा विकसित और समर्थित साइटों की निगरानी और सक्रिय सुरक्षा के लिए बुनियादी प्रक्रियाओं को पहले से निर्धारित करें।
  
  
  
  
• साइट में शामिल सीएमएस, वेब सर्वर और अन्य सॉफ्टवेयर तत्वों के संस्करणों के अपडेट का समय पर जवाब दें।
  
  
  
  
• परियोजनाओं के पूरे बेड़े में निगरानी और सक्रिय रक्षा सेवाओं का उपयोग करें (इससे कोई फर्क नहीं पड़ता कि यह बाहरी सेवा है या अंतर्निहित, उदाहरण के लिए, सीएमएस में)।
  
  
  
  
• एक समस्या और संभावित समाधान की संभावना के बारे में बताते हुए, ग्राहकों के लिए आचरण का संचालन करें।
  
  
  
  
• अपने स्वयं के कर्मचारियों के साथ सुरक्षा नीति की व्याख्या करने के लिए समय-समय पर काम करते हैं, जिनके पास पासवर्ड, होस्टिंग, परीक्षण सर्वर आदि की पहुंच होती है, सुरक्षा नियमों के पालन पर एक अनुबंध पर हस्ताक्षर करते हैं और काम पर रखने पर ग्राहक डेटा की गोपनीयता।
  
  
  
  
• पहले से एक लघु विपणन दस्तावेज़ तैयार करें जो सुरक्षा के मुद्दों, प्रक्रियाओं, नियमों, सेवाओं के उपयोग आदि के बारे में एजेंसी के दृष्टिकोण का वर्णन करता है। सेवाओं को बेचते समय और वर्तमान ग्राहकों के साथ बातचीत करते समय (और प्रतियोगियों से अलग करने का एक अतिरिक्त तरीका) ऐसे दस्तावेज़ की उपस्थिति एक अतिरिक्त लाभ हो सकती है।
  
  
  
  
• इस घटना में कि कंपनी के पास पूर्णकालिक सुरक्षा विशेषज्ञ नहीं हो सकते हैं, हम अनुशंसा करते हैं कि आप उन बाहरी विशेषज्ञों में से एक से सहमत हों जो प्रक्रियाओं को स्थापित करने में मदद करेंगे, साथ ही पहचान (या पूर्णकालिक या स्वचालित निगरानी प्रणाली) द्वारा पता लगाने की स्थिति में उनके उन्मूलन से जुड़ेंगे।
  
  
  
  
• सुरक्षा मुद्दों पर संबंधित पैराग्राफ के विवरण के लिए अनुबंध और अन्य कानूनी दस्तावेजों की जांच करें।

ग्राहक को सिफारिशें

• एक ठेकेदार चुनते समय, एजेंसियों के प्रतिनिधियों के साथ एक निविदा और प्रारंभिक संचार का आयोजन करते हुए, यह सवाल उठना लाजिमी है कि कंपनी में सुरक्षा नीति कैसे काम करती है। खरीद समिति की औपचारिक मूल्यांकन शीट में प्रासंगिक मुद्दों को शामिल करें (यदि ऐसी प्रक्रियाएं आंतरिक रूप से आयोजित की जाती हैं)।
  
  
  
  
• कुछ नियमितता के साथ, वर्तमान ठेकेदारों से इस क्षेत्र से संबंधित उनकी प्रक्रियाओं में परिवर्तन / सुधार के बारे में पता करें।
  
  
  
  
• जांचें कि दस्तावेजों में उसकी गलती के कारण घटनाओं के मामले में ठेकेदार की जिम्मेदारी के बिंदु हैं (वही, हालांकि, साथ ही ऐसे बिंदु जो ठेकेदार की जिम्मेदारी के क्षेत्र से संबंधित नहीं हैं)। आदर्श रूप से, विभिन्न प्रकार की घटनाओं के जवाब के लिए आपके पास एक लिखित नीति (SLA) होनी चाहिए।

स्टूडियो / एजेंसी सुरक्षा वेबिनार श्रृंखला

अध्ययन के परिणामों का विश्लेषण करने और एजेंट बाजार पर समस्या की भयावहता को समझने के बाद, हमारे साइटसिक्योर सहयोगियों ने स्टूडियो / एजेंसियों में एक प्रभावी सुरक्षा सेवा के संगठन पर मुफ्त वेबिनार की एक श्रृंखला आयोजित करने का निर्णय लिया। पहले से ही अब, एक विशेष पृष्ठ पर, इन वेबिनार की सदस्यता का अवसर उपलब्ध है - हम अनुशंसा करते हैं।



अध्ययन और विशेषज्ञ टिप्पणियों का पूरा संस्करण हमारे विशेष परियोजना के पृष्ठ पर पाया जा सकता है।