Безопасность в Битрикс24

Мы поддерживаем стабильность и безопасность сервиса в соответствии с самыми высокими стандартами. Ваши данные, загруженные в «Битрикс24», будут надежно защищены.

Получить бесплатно

Всесторонняя защита

В Битрикс24 предусмотрен комплекс мер, обеспечивающих защиту данных от несанкционированного доступа и других угроз.

Надежность
инфраструктуры Защита
данных Безопасная
разработка Соответствие
законодательству Центр
информирования

Надежность инфраструктуры

Устойчивая инфраструктура обеспечит безотказность работы сервисов и легкое масштабирование компании.

Битрикс24 в облаке

Обеспечьте максимальную устойчивость бизнеса с облачным сервисом Битрикс24.

Центры обработки данных

Обеспечение работы 24/7
Показатель надежности ЦОД - Tier III
Отказоустойчивость 99,95% и выше
Системы бесперебойного электроснабжения, технической безопасности, круглосуточного наблюдения и другие комплексы оборудования
Хранение персональных данных в соответствии с Законом №99-З «О защите персональных данных»
Размещение на территории Республики Беларусь
Защита от DDos

Устойчивая архитектура

Каждый портал имеет свою БД
Размещение БД в географически распределенных веб-кластерах
Master-Master репликация в СУБД
Распределенный кеш данных (memcached)
Непрерывность сессий между веб-серверами (хранение сессий в базе данных)
Облачное файловое хранилище для статического контента
Балансирование нагрузки между серверами на уровне ядра платформы
Горизонтальное масштабирование веб-приложения (добавление новых машин)

Резервное копирование

Мониторинг работоспособности 24/7
Автоматические и полуавтоматические реакции на нестандартные и аварийные ситуации
Ежедневное резервное копирование на различных уровнях инфраструктуры, включая всех рабочих файлов каждого портала
Периодическое тестирование сценариев восстановления
Намеренная избыточность инфраструктуры
Периодические нагрузочные стресс-тесты

Битрикс24 в коробке

Самостоятельно выбирайте архитектуру и контролируйте контур безопасности с коробочной версией Битрикс24.

Объект защиты

Многофункциональное веб-приложение, разработанное на языке PHP
Клиентская часть: HTML, CSS, JavaScript, AJAX
Веб-серверы: Apache, Nginx
PHP-окружение
Кеширующие компоненты: Memcached или Redis
СУБД: MySQL, MariaDB, PostgreSQL
Организованная структура файлов и папок
Инструменты API: REST API, JSON-RPC, HTTP(s)
Модульная структура

Системное окружение

Выбор безопасной архитектуры на уровне ИТ‑инфраструктуры
Контролируемые обновления и настройки системного окружения
Собственные зоны разработки и тестирования
Закрытый контур и защищенные потоки данных
Встраивание в текущую систему защиты информации компании: NGFW, WAF, LDAP, SSO, DLP, IDM, EDR, AV, SIEM

Защита данных

Обеспечьте конфиденциальность, целостность и доступность информации с помощью многоуровневой системы безопасности.

Сетевая безопасность

Проактивный фильтр: инструмент, который выполняет фильтрацию трафика на уровне веб-приложения для защиты от известных атак OWASP Top 10 (XSS, SQL Injection, PHP Including и других).
Контроль доступа на сетевом уровне: механизм ограничивает доступ к системе на уровне IP, хостов и доменов с помощью стоп-листов. Также реализован контроль сессий пользователей.
Защита от межсайтового скриптинга: опция не позволяет другим сайтам встраивать ваш портал в свои фреймы. Кроме того осуществляется антифишинговый контроль перенаправления на другой сайт.

Шифрование

Безопасная передача: для защиты каналов связи и всех передаваемых данных используются национальные криптостандарты, пользователь может выбрать провайдера криптозащиты: itVPN, S-Crypto VPN. Возможна настройка шифрования по СТБ34.101.27-2022.
Защита паролей: пароли пользователей хранятся в виде хешей, вычисленных по алгоритму SHA-512.
Безопасное хранение: поля таблиц БД, содержащие чувствительную информацию, дополнительно защищены по протоколу AES-256 бит.

Управление доступом

Ролевая модель доступа: набор инструментов, позволяющих гибко настраивать полномочия пользователей, включая администраторов, в различных модулях Битрикс24.
Контроль активности: опции, реализующие контроль попыток входа, функционал CAPCHA, блокировку подозрительной активности.
Контроль внешних пользователей: механизмы, позволяющие организовать совместную работу с любым внешним подрядчиком в отдельном ограниченном контуре доступа.

Парольная защита

Сложные пароли: парольные настройки позволяют установить требование по длине пароля, по использованию символов и букв латинского алфавита, а также цифр и знаков.
Порядок использования паролей: опции обеспечивают безопасное создание пароля, назначение срока его действия, запрет использования прежних паролей.
Двухфакторная аутентификация: механизм сначала требует ввода логина и пароля, потом — уникального одноразового кода, полученного на мобильный телефон.

Мониторинг событий

Регистрация: набор инструментов, обеспечивающих регистрацию событий доступа, запуска задач, процессов и результатов из работы, действий пользователей.
Журналирование: опция реализована через журнал событий, журнал вторжений, журналы работы роботов.
Хранение: обеспечивается хранение логов в виде журналов, а также длительное хранение "сырых" данных для обеспечения разбора нестандартных ситуаций.

Дополнительные инструменты

Веб-антивирус

Инструмент выявляет в html-коде потенциально опасные участки и "вырезает" подозрительные объекты из кода в момент его передачи браузеру, тем самым препятствуя проникновению вирусов на компьютер пользователя.

Сканер
безопасности

Сканер позволяет выявить потенциальные уязвимости и ошибки настройки безопасности. Отдельно реализован механизм поиска троянов.

Контроль целостности файлов

Функция контроля целостности файлов позволяет быстро выяснить, вносились ли изменения в файлы системы. В любой момент вы можете проверить целостность ядра, системных областей, публичной части портала.

Защита от утечек

Функция позволяет установить в мобильном приложении запрет сотрудникам делать снимки и запись экрана, копировать текст. Также реализован функционал автоудаления сообщений.

Интеграция со службой каталогов

Инструмент обеспечивает возможность управлять пользователями через централизованную службу каталогов.

Безопасная разработка

Лучшие практики разработки безопасного ПО (DevSecOps) обеспечивают выпуск надежных продуктов и сервисов, а динамическая контрольная среда позволяет проактивно и быстро реагировать на новые вызовы безопасности.

Планирование

Мы осуществляем моделирование угроз для нового функционала, разработку требований по безопасности, определение дизайна контрольных процедур и защитных мер, проектируем решения и декомпозируем их в задачи как для разработки так и для контроля.

Разработка

Наши программисты проходят ежегодные обучения и тестирования знаний по безопасной разработке ПО. Мы внедряем контрольные процедуры безопасности на ранних стадиях. Первичная проверка соблюдения запланированного дизайна осуществляется до перехода на стадию сборки.

Сборка

На этом этапе проводится анализ программных компонентов, используемых сторонних библиотек и решений, статическое (SAST) и модульное тестирование. Используемые инструменты и проверки интегрированы в процесс разработки таким образом, что невозможно перейти к следующей стадии в обход них.

Тестирование

Наиболее длительный этап проверок на безопасность, который включает динамическое и фаззинг тестирование, поиск уязвимостей OWASP Top 10, подтверждение корректной работы функций аутентификации, авторизации и других защитных механизмов.

Релиз, доставка и развертывание

Для снижения рисков при внедрении изменений в производственную среду, мы осуществляем контроль версий, ограничение прав на выполнение релиза и доставки, контроль целостности, подготовка процедур автоотката и развертывания в инфраструктуре с учетом различий с тестовой средой.

Мониторинг и улучшения

Для обеспечения надежной работы наших сервисов мы используем общие ИТ-контроли (ITGC), сканирования на уязвимости, тесты на проникновение, внутренние и внешние аудиты, непрерывный мониторинг, анализ метрик безопасности и непрерывные улучшения.

Соответствие законодательству

Мы создали и постоянно совершенствуем систему управления информационной безопасностью. Работаем с учетом требований законодательства Республики Беларусь, практик отечественных и зарубежных стандартов: Закон РБ «Об информации, информатизации и защите информации», Закон №99-З «О защите персональных данных», ISO 27001 , OWASP Top 10.

Сертификаты и аттестаты Оперативно-аналитического центра при Президенте Республики Беларусь

Аттестат соответствия системы защиты информации информационной системы «1С-Битрикс24» требованиям по защите информации, класс 3ин, 3юл;
Сертификат соответствия СЗИ программного комплекса «1С-Битрикс24» требованиям безопасности информации: ТР 2013/027/BY;
Сертификат соответствия СЗИ программного комплекса «1С-Битрикс: Управление сайтом» требованиям безопасности информации: СТБ 34.101.37-2017.

Центр информирования

Обрабатываем поступающую информацию о проблемах и решениях, чтобы оперативно передавать ее клиентам.

Проверка лицензии

В Битрикс24 есть все для эффективной защиты от потенциальных угроз. Чтобы обеспечить наивысший уровень безопасности, важно своевременно устанавливать обновления системы.

Проверьте актуальность вашей лицензии.

Проверить лицензию

Актуальные инциденты

Больше информации в нашем TG канале

Необходимые
обновления

Мы изучаем все сообщения о возможных уязвимостях безопасности, затрагивающих продукты «1С-Битрикс». В центре информирования мы собираем актуальную информацию, которая поможет вам оперативно обеспечивать защиту ваших систем.

Перейти в центр информирования

Реестр решений
с уязвимостями

Мы фиксируем инциденты, связанные с эксплуатацией уязвимостей в решениях, интеграциях и дополнениях, разработанных сторонними компаниями без нашего участия. Выявленные уязвимости и содержащие их решения вы можете найти в реестре.

Перейти в реестр решений

Имеют ли доступ к данным клиентов сотрудники «1С-Битрикс»?

Доступ к системным компонентам Битрикс24, в том числе обрабатывающим и хранящим данные клиентов, имеет ограниченный круг сотрудников «1С-Битрикс» и коммерческих дата центров, выполняющих в соответствии с договорными и должностными обязанностями регламентные работы по обслуживанию оборудования и по обеспечению надежного функционирования сервисов. Логический доступ строго ограничен согласно ролевой модели доступа.

Каким образом реализована изоляция данных разных клиентов в Битрикс24?

В Битрикс24 каждый портал имеет собственную БД, доступ к которой возможен через приложение Битрикс24 под учетными записями легитимных пользователей.

Каким образом обеспечивается защита отдельного модуля, например, мобильного приложения?

В Битрикс24 базовые механизмы защиты распространяются на все его элементы. Подробнее о базовых инструментах защиты можно узнать в разделе Защита данных. При этом некоторые модули могут иметь дополнительные инструменты, например, запрет делать снимки и запись экрана при использовании мобильного приложения. Подробнее об этом – в разделах с описанием соответствующего функционала модуля или в документации в разделе Поддержки.

Какие подтверждения требованиям безопасности информации есть у облачной версии Битрикс24?

Облачная версия Битрикс24 имеет Аттестат соответствия системы защиты информации информационной системы «1С-Битрикс24» требованиям по защите информации, предъявляемым законодательством Республики Беларусь.

Реализована ли поддержка шифрования по СТБ 34.101.27-2022 в Битрикс24?

Для коробочной версии Битрикс24 возможна настройка TLS с применением шифрования по СТБ 34.101.27-2022. Для облачной версии пользователь может выбрать провайдера криптозащиты: itVPN, S-Crypto VPN.

Где посмотреть список сертифицированного программного обеспечения, включая Битрикс24?

Официальный реестр сертифицированных средств защиты информации Оперативно-аналитического центра при Президенте Республики Беларусь, размещенный на официальном сайте центра, содержит сведения об всех СЗИ, прошедших сертификацию.

4 390+ интеграций

Телефония, 1С, онлайн-банки, доставка, и ещё больше тысячи готовых интеграций уже внутри Битрикс24

Узнать больше

Коробочная версия

Работает на вашем сервере c дополнительным функционалом и возможностью доработки

Узнать больше

Для крупных организаций

Битрикс24 Enterprise для крупных территориально-распределенных компаний или холдингов с большим количеством пользователей.

Узнать больше