Din chattbots instrumentpanel innehåller sådant som är värt att skydda: dina kunders konversationer och kontaktuppgifter, dokumenten som utgör din kunskapsbas, din bokningskalender och, om du tar med din egen nyckel, åtkomst till ett konto hos en AI-leverantör som kan driva upp en räkning. Kontot som styr allt detta är bara så säkert som sin svagaste inloggning. De flesta verkliga kontoövertagande är inga listiga intrång: det är återanvända lösenord, delade inloggningar, tidigare anställda som fortfarande har åtkomst och ägare utan en andra faktor. Den här guiden är en praktisk säkerhetsguide för ägare av en chattbotarbetsyta: hur du sätter roller så att människor bara har den åtkomst de behöver, hur tvåfaktorsautentisering fungerar och hur du slår på den, hur du loggar in säkert, hur du hanterar nyanställda och avgående, hur du skyddar API-nycklar, hur du använder en granskningslogg och en checklista du kan göra klart på en eftermiddag.
Vad som står på spel
| Tillgång | Risk om någon tar sig in |
|---|---|
| Konversationer och leads | Kunders personuppgifter exponeras; konsekvenser enligt dataskyddslagstiftningen |
| Kunskapsbas | Innehåll ändras så att assistenten säger fel saker |
| Assistentinställningar | Instruktioner ändras; assistenten missbrukas |
| Bokningar och kalender | Tider raderas eller spammas |
| AI-leverantörens nyckel | Kostnader drivs upp på ditt konto |
| Fakturering | Planändringar eller uppsägning |
Konsekvenserna av ett övertagande är större än de flesta ägare tror, eftersom en chattbot sitter framför dina kunder.
Minsta möjliga behörighet: ge människor bara det de behöver
Roller begränsar vad varje teammedlem kan se och ändra. Principen är minsta möjliga behörighet: börja med det minsta och lägg till åtkomst när det finns en anledning.
| Typ av person | Föreslagen åtkomst |
|---|---|
| Ägare | Allt, inklusive fakturering och säkerhet; håll det till en eller två personer |
| Administratörer | Hantera assistenter, kunskap och inställningar; inte fakturering eller ägarskap |
| Support eller reception | Se konversationer, leads och bokningar; hantera överlämningar; inte inställningar eller nycklar |
| Konsulter eller byråer | Bara de assistenter och flikar de arbetar med, så länge de arbetar |
| Fakturering eller ekonomi | Bara planer och fakturor |
- Se över roller när någons arbetsuppgifter ändras.
- Undvik att ge alla ägarrättigheter för bekvämlighets skull.
- Använd namngivna konton för alla; dela aldrig en inloggning.
- Begränsa vem som kan se AI-nycklar och vem som kan ändra assistentens instruktioner.
Crescelos arbetsytor använder roller som begränsar vad teammedlemmar kan se, redigera eller ändra, och ägare kan se en granskningslogg över viktiga åtgärder.
Tvåfaktorsautentisering (2FA)
Ett lösenord ensamt kan gissas, återanvändas från ett annat intrång eller stjälas. En andra faktor kräver något annat: en kod från en autentiseringsapp i din telefon. Även om ditt lösenord läcker kan en angripare inte logga in utan koden. Crescelo stöder tidsbaserade engångskoder från autentiseringsappar, och teamkonton kan kräva dem vid inloggning.
- Installera en autentiseringsapp i din telefon.
- Starta 2FA-installationen i arbetsytans säkerhetsinställningar och skanna QR-koden.
- Ange den sexsiffriga koden för att bekräfta.
- Spara återställningskoderna på ett säkert ställe offline; de släpper in dig om du tappar telefonen.
- Testa att logga ut och in igen med en kod.
- Slå på det för ägare först, sedan för alla.
- Föredra en autentiseringsapp framför textmeddelanden, som kan avlyssnas.
- Förvara återställningskoderna i en lösenordshanterare eller en låst låda, inte i ett mejl.
- När någon slutar, ta bort deras åtkomst; lita inte på deras 2FA.
Goda inloggningsvanor
- Använd ett unikt, långt lösenord från en lösenordshanterare.
- Återanvänd aldrig lösenord mellan tjänster.
- Om du loggar in med Google, skydda det Google-kontot med 2FA också.
- Se upp för nätfiske: kontrollera adressen innan du anger inloggningsuppgifter och ange inte en kod du inte väntade dig.
- Logga ut på delade enheter.
Crescelos instrumentpanel kontrollerar en session vid varje anrop mot ditt kontos tillstånd, så att byta lösenord eller ta bort en medlem avslutar deras befintliga sessioner.
Nyanställda, interna flyttar och avgående
| Händelse | Åtgärd |
|---|---|
| Ny teammedlem | Skapa ett namngivet konto med den minsta roll som fungerar; kräv 2FA |
| Ändrad roll | Justera åtkomsten samma dag |
| Konsult blir klar | Ta bort åtkomsten omedelbart |
| Anställd slutar | Ta bort kontot, byt ut allt de kunde se, som delade lösenord och API-nycklar |
| Ägarbyte | Överför ägarskapet medvetet och ta bort den tidigare ägarens åtkomst |
Skriv ner detta som en kort checklista. Avslut av anställning är där de flesta åtkomstproblem börjar.
Skydda API-nycklar
- Använd en dedikerad nyckel för varje assistent, med en kostnadsgräns hos leverantören.
- Klistra aldrig in nycklar i chattar, mejl eller webbplatskod.
- Begränsa vem som kan se eller ändra AI-inställningarna.
- Byt nycklar när en person med åtkomst slutar eller ett läckage misstänks.
- Crescelo lagrar leverantörsnycklar krypterade; se hur ett nyckelvalv för egna nycklar fungerar.
Använd granskningsloggen
En granskningslogg registrerar vem som gjorde vad och när: en ändrad inställning, en raderad källa, en tillagd medlem. Använd den. Gå igenom den varje månad efter oväntade ändringar, och efter varje incident. Ägare i Crescelo kan se en granskningslogg över åtgärder i arbetsytan. Den hjälper också vid en tvist eller utredning, eftersom du kan se vad som hände.
Andra grunder
- Håll dina enheter uppdaterade och låsta.
- Använd inte offentligt wifi för administrativt arbete utan en betrodd anslutning.
- Begränsa vem som har adminåtkomst till din domän och webbplats, eftersom chatten är installerad där.
- Var försiktig med webbläsartillägg.
- Säkerhetskopiera viktigt innehåll, som dina kunskapsdokument.
Om du tror att ett konto har blivit komprometterat
- Byt lösenord och logga ut överallt.
- Ta bort misstänkta medlemmar och återkalla API-nycklar.
- Kontrollera granskningsloggen för att se vad som ändrats.
- Gå igenom senaste konversationer och leads efter ovanlig aktivitet.
- Återställ ändrat innehåll från dina original.
- Berätta för berörda kunder om deras uppgifter kan ha exponerats, enligt dina rättsliga skyldigheter.
- Kontakta supporten med detaljerna.
En checklista för en eftermiddag
- Högst två ägare, båda med 2FA.
- Varje teammedlem på ett namngivet konto med den minsta rollen.
- Återställningskoderna förvarade säkert.
- Gamla och delade konton borttagna.
- En dedikerad AI-nyckel med kostnadsgräns.
- Granskningsloggen genomgången.
- En skriftlig checklista för nyanställda och avgående.
Vanliga misstag
- Att göra alla till ägare eftersom det är enklare.
- Att dela en inloggning inom teamet.
- Att förvara återställningskoderna i samma inkorg som mejlet för lösenordsåterställning.
- Att glömma att ta bort konsulter när ett projekt är slut.
- Att aldrig titta på granskningsloggen.
- Att lämna AI-nyckeln synlig för personer som inte behöver den.
Att åtgärda dessa tar en eftermiddag och tar bort de flesta realistiska sätten som ett konto komprometteras. Lägg in en återkommande kvartalspåminnelse i kalendern för att se över roller och åtkomst.
Vanliga frågor
Stöder Crescelo tvåfaktorsautentisering?
Ja. Konton kan använda tidsbaserade koder från en autentiseringsapp, och teamkonton kan kräva dem vid inloggning.
Vad är minsta möjliga behörighet?
Att ge varje person bara den åtkomst hen behöver, så att ett misstag eller ett intrång orsakar mindre skada.
Vad gör jag om jag tappar telefonen?
Använd de återställningskoder du sparade när du slog på 2FA och ställ sedan in det på nytt på den nya telefonen.
Ska jag dela en inloggning med mitt team?
Nej. Använd namngivna konton så att du vet vem som gjorde vad och kan ta bort åtkomst individuellt.
Hur tar jag bort en tidigare anställds åtkomst?
Ta bort deras konto, byt delade lösenord och API-nycklar de kunde se och gå igenom granskningsloggen.
Var kan jag se vem som ändrade vad?
I granskningsloggen, som är tillgänglig för arbetsytans ägare.
Se hur dina data skyddas och personuppgiftsbiträdesavtalet, läs GDPR-checklistan, se SSRF-skydd för webbskrapor, funktionen AI-assistent och starta en gratis provperiod för att sätta upp din arbetsyta på ett säkert sätt.
Vidare läsning
- OWASP Top 10 för tillämpningar med stora språkmodeller: De viktigaste säkerhetsriskerna med AI-assistenter, inklusive promptinjektion.
- Google Search Central: skapa hjälpsamt innehåll för människor: Vad Google letar efter på användbara sidor.
SVARA ALLA BESÖKARE. BOKA DEM SOM ÄR REDO.
Lägg in Crescelo på din webbplats på 15 minuter
Träna din assistent på dina prislistor, dokument och tjänstevillkor. Aktivera välgrundade svar dygnet runt och bokning av tider direkt i chatten utan krockar.