Chatbotisi hallintapaneelissa on suojaamisen arvoisia asioita: asiakkaidesi keskustelut ja yhteystiedot, tietopankkisi muodostavat dokumentit, ajanvarauskalenterisi ja, jos tuot oman avaimen, pääsy tekoälypalveluntarjoajan tiliin, jolle voi kertyä lasku. Kaiken tämän hallitseva tili on yhtä turvallinen kuin heikoin kirjautumisensa. Useimmat todelliset tilin kaappaukset eivät ole nokkelia hakkerointeja: ne ovat uudelleenkäytettyjä salasanoja, jaettuja tunnuksia, entisiä työntekijöitä, joilla on yhä pääsy, ja omistajia, joilla ei ole toista tekijää. Tämä opas on käytännön tietoturvaopas chatbotin työtilan omistajille: miten asetat roolit niin, että ihmisillä on vain tarvitsemansa pääsy, miten kaksivaiheinen tunnistautuminen toimii ja miten sen otetaan käyttöön, miten kirjaudut turvallisesti sisään, miten hoidat tulijat ja lähtijät, miten suojaat API-avaimet, miten käytät auditointilokia, sekä tarkistuslista, jonka ehdit käydä läpi iltapäivässä.
Mitä on pelissä
| Omaisuus | Riski, jos joku pääsee sisään |
|---|---|
| Keskustelut ja liidit | Asiakkaiden henkilötiedot paljastuvat; tietosuojalain seuraukset |
| Tietopankki | Sisältöä muutetaan niin, että assistentti sanoo vääriä asioita |
| Assistentin asetukset | Ohjeita muutetaan; assistenttia käytetään väärin |
| Ajanvaraukset ja kalenteri | Ajat poistetaan tai niitä spämmätään |
| Tekoälyn tarjoajan avain | Tilillesi kertyy kustannuksia |
| Laskutus | Pakettimuutokset tai irtisanominen |
Kaappauksen vaikutus on suurempi kuin useimmat omistajat olettavat, koska chatbot on asiakkaidesi edessä.
Vähimmän oikeuden periaate: anna ihmisille vain se, mitä he tarvitsevat
Roolit rajoittavat, mitä kukin tiimin jäsen voi nähdä ja muuttaa. Periaate on vähimmän oikeuden periaate: aloita minimistä ja lisää pääsyä, kun siihen on syy.
| Henkilötyyppi | Ehdotettu pääsy |
|---|---|
| Omistaja | Kaikki, laskutus ja tietoturva mukaan lukien; pidä yhdessä tai kahdessa henkilössä |
| Ylläpitäjät | Hallitsevat assistentteja, tietoa ja asetuksia; eivät laskutusta tai omistajuutta |
| Tuki tai vastaanotto | Näkevät keskustelut, liidit ja ajanvaraukset; hoitavat luovutukset; eivät asetuksia tai avaimia |
| Urakoitsijat tai toimistot | Vain assistentit ja välilehdet, joiden parissa he työskentelevät, niin kauan kuin he työskentelevät |
| Laskutus tai talous | Vain paketit ja laskut |
- Tarkista roolit, kun jonkun tehtävät muuttuvat.
- Vältä antamasta kaikille omistajan oikeuksia mukavuussyistä.
- Käytä nimettyjä tilejä kaikille; älä koskaan jaa tunnuksia.
- Rajoita, kuka näkee tekoälyavaimet ja kuka voi muuttaa assistentin ohjeita.
Crescelon työtilat käyttävät rooleja, jotka rajoittavat, mitä tiimin jäsenet voivat nähdä, muokata tai muuttaa, ja omistajat näkevät auditointilokin tärkeistä toimista.
Kaksivaiheinen tunnistautuminen (2FA)
Pelkkä salasana voidaan arvata, käyttää uudelleen toisesta tietomurrosta tai varastaa. Toinen tekijä vaatii jotain muuta: koodin puhelimesi tunnistautumissovelluksesta. Vaikka salasanasi vuotaisi, hyökkääjä ei pääse sisään ilman koodia. Crescelo tukee tunnistautumissovellusten aikapohjaisia kertakäyttökoodeja, ja tiimitilit voivat vaatia niitä kirjautumisessa.
- Asenna puhelimeesi tunnistautumissovellus.
- Aloita 2FA:n käyttöönotto työtilan tietoturva-asetuksissa ja skannaa QR-koodi.
- Syötä kuusinumeroinen koodi vahvistukseksi.
- Tallenna palautuskoodit turvalliseen paikkaan offline-tilassa; niillä pääset sisään, jos kadotat puhelimesi.
- Testaa uloskirjautuminen ja sisäänkirjautuminen koodilla.
- Ota se käyttöön ensin omistajille, sitten kaikille.
- Suosi tunnistautumissovellusta tekstiviestien sijaan, sillä ne voidaan siepata.
- Säilytä palautuskoodit salasananhallinnassa tai lukitussa laatikossa, älä sähköpostissa.
- Kun joku lähtee, poista hänen pääsynsä; älä luota hänen 2FA:han.
Vahvat kirjautumistottumukset
- Käytä yksilöllistä, pitkää salasanaa salasananhallinnasta.
- Älä koskaan käytä salasanoja uudelleen eri palveluissa.
- Jos kirjaudut Googlella, suojaa myös se Google-tili 2FA:lla.
- Varo kalastelua: tarkista osoite ennen tunnusten syöttämistä äläkä syötä koodia, jota et odottanut.
- Kirjaudu ulos jaetuilta laitteilta.
Crescelon hallintapaneeli tarkistaa istunnon jokaisessa pyynnössä tilisi tilaa vasten, joten salasanan vaihtaminen tai jäsenen poistaminen päättää heidän olemassa olevat istuntonsa.
Tulijat, siirtyjät ja lähtijät
| Tapahtuma | Toimenpide |
|---|---|
| Uusi tiimin jäsen | Luo nimetty tili pienimmällä toimivalla roolilla; vaadi 2FA |
| Roolin muutos | Säädä pääsy samana päivänä |
| Urakoitsija valmistuu | Poista pääsy välittömästi |
| Työntekijä lähtee | Poista hänen tilinsä, vaihda kaikki, minkä hän saattoi nähdä, kuten jaetut salasanat ja API-avaimet |
| Omistaja vaihtuu | Siirrä omistajuus harkiten ja poista vanhan omistajan pääsy |
Kirjoita tämä lyhyeksi tarkistuslistaksi. Työsuhteen päättyminen on kohta, josta useimmat käyttöoikeusongelmat alkavat.
Suojaa API-avaimet
- Käytä erillistä avainta jokaiselle assistentille ja aseta kulutusraja palveluntarjoajalla.
- Älä koskaan liitä avaimia chatteihin, sähköposteihin tai verkkosivuston koodiin.
- Rajoita, kuka voi nähdä tai muuttaa tekoälyasetuksia.
- Vaihda avaimet, kun pääsyn omaava henkilö lähtee tai epäilet vuotoa.
- Crescelo tallentaa palveluntarjoajan avaimet salattuina; katso miten oman avaimen holvi toimii.
Käytä auditointilokia
Auditointiloki kirjaa, kuka teki mitä ja milloin: muutettu asetus, poistettu lähde, lisätty jäsen. Käytä sitä. Tarkista se kuukausittain odottamattomien muutosten varalta ja minkä tahansa välikohtauksen jälkeen. Crescelon omistajat näkevät työtilan toimien auditointilokin. Se auttaa myös riidassa tai tutkinnassa, koska näet, mitä tapahtui.
Muut perusasiat
- Pidä laitteesi päivitettyinä ja lukittuina.
- Älä käytä julkista Wi-Fiä ylläpitotyöhön ilman luotettavaa yhteyttä.
- Rajoita, kenellä on ylläpitäjän pääsy verkkotunnukseesi ja verkkosivustoosi, koska chat on asennettu sinne.
- Ole varovainen selainlaajennusten kanssa.
- Varmuuskopioi tärkeä sisältö, kuten tietodokumenttisi.
Jos epäilet tilin vaarantuneen
- Vaihda salasana ja kirjaudu ulos kaikkialta.
- Poista epäilyttävät jäsenet ja peruuta API-avaimet.
- Tarkista auditointiloki nähdäksesi, mitä muuttui.
- Käy läpi viimeaikaiset keskustelut ja liidit epätavallisen toiminnan varalta.
- Palauta muutettu sisältö alkuperäisistäsi.
- Kerro asiakkaille, joiden tiedot ovat voineet paljastua, oikeudellisten velvoitteidesi mukaisesti.
- Ota yhteyttä tukeen ja kerro yksityiskohdat.
Yhden iltapäivän tarkistuslista
- Enintään kaksi omistajaa, molemmilla 2FA.
- Jokainen tiimin jäsen nimetyllä tilillä pienimmällä roolilla.
- Palautuskoodit säilytetty turvallisesti.
- Vanhat ja jaetut tilit poistettu.
- Erillinen tekoälyavain kulutusrajalla.
- Auditointiloki tarkistettu.
- Kirjallinen tulijoiden ja lähtijöiden tarkistuslista.
Yleiset virheet
- Kaikkien tekeminen omistajiksi, koska se on helpompaa.
- Yhden tunnuksen jakaminen tiimissä.
- Palautuskoodien säilyttäminen samassa postilaatikossa kuin salasanan palautusviesti.
- Urakoitsijoiden poistamatta jättäminen projektin päätyttyä.
- Auditointilokin katsomatta jättäminen.
- Tekoälyavaimen jättäminen näkyviin ihmisille, jotka eivät sitä tarvitse.
Näiden korjaaminen vie iltapäivän ja poistaa useimmat todelliset tavat, joilla tili vaarantuu. Lisää kalenteriin toistuva neljännesvuosittainen muistutus roolien ja käyttöoikeuksien tarkistamiseksi.
Usein kysytyt kysymykset
Tukeeko Crescelo kaksivaiheista tunnistautumista?
Kyllä. Tilit voivat käyttää tunnistautumissovelluksen aikapohjaisia koodeja, ja tiimitilit voivat vaatia niitä kirjautumisessa.
Mitä on vähimmän oikeuden periaate?
Se, että jokaiselle annetaan vain tarvittava pääsy, jolloin virhe tai tilin vaarantuminen aiheuttaa vähemmän vahinkoa.
Entä jos kadotan puhelimeni?
Käytä palautuskoodeja, jotka tallensit 2FA:ta ottaessasi, ja ota se sitten uudelleen käyttöön uudessa puhelimessa.
Pitäisikö minun jakaa yksi tunnus tiimin kanssa?
Ei. Käytä nimettyjä tilejä, jotta tiedät, kuka teki mitä, ja voit poistaa pääsyn yksilöllisesti.
Miten poistan entisen työntekijän pääsyn?
Poista hänen tilinsä, vaihda jaetut salasanat ja API-avaimet, jotka hän saattoi nähdä, ja tarkista auditointiloki.
Mistä näen, kuka muutti mitä?
Auditointilokista, joka on työtilan omistajien käytettävissä.
Katso miten tietosi suojataan ja henkilötietojen käsittelyä koskeva lisäsopimus, lue GDPR-tarkistuslista, katso SSRF-suojaus verkkosivujen kaapijoille, tekoälyassistentin ominaisuus ja aloita ilmainen kokeilu perustaaksesi työtilasi turvallisesti.
Lisälukemista
- OWASP Top 10 suurten kielimallien sovelluksille: Tekoälyassistenttien tärkeimmät tietoturvariskit, mukaan lukien kehoteinjektio.
- Google Search Central: hyödyllisen, ihmisläheisen sisällön luominen: Mitä Google etsii hyödyllisiltä sivuilta.
VASTAA JOKAISELLE KÄVIJÄLLE. VARAA AIKA NIILLE, JOTKA OVAT VALMIITA.
Ota Crescelo käyttöön verkkosivustollasi 15 minuutissa
Opeta avustajasi hinnastoillasi, asiakirjoillasi ja palveluehdoillasi. Ota käyttöön lähteisiin perustuvat vastaukset ympäri vuorokauden ja päällekkäisyydettömät ajanvaraukset suoraan chatissa.