На ресурсе ispdn.ru для меня, как человека бесконечно далекого (что уж там) от перипетий законотворчества, нашлась весьма интересная тема, актуализированная последними поправками к Федеральному Закону РФ "О персональных данных" (http://ispdn.ru/law/748/#text) принятыми 25 декабря сего года.

Можно посмотреть краткий FAQ по теме (ispdn.ru/basis/), чтение которого привело к следующим размышлениям.
Любая CRM система автоматически попадает под понятие "Информационной системы персональных данных", а организация, ее использующая, является "Оператором персональных данных".

Навскидку сделанная оценка возможностей и реальной практики использования Terrasoft CRM показывает, что данная информационная система вполне соответствует, согласно классификации, "Классу 1" или, как минимум, "Классу 2" (ispdn.ru/basis/522/#text), а потому она сама либо ее использование требует согласно ФЗ РФ обязательной сертификации на предмет безопасности и защищенности.

Уважаемые коллеги, хотелось бы услышать Ваши комментарии, размышления по данному вопросу...
Тема для меня несколько непривычная, "нетехническая", но тем не менее интересная. Также, как мне кажется, она предваряет многие будущие вопросы клиентов, находящихся на территории РФ как минимум.

На данный момент безопасность соединения между клиентским приложением программного продукта Террасофт и его серверной частью можно описать тремя уровнями защиты:

1. Авторизация пользователя на клиентском месте, ограничение сетевого доступа и т.д.
2. Используя авторизацию по протоколу SOAP, клиент может подключиться к серверу приложений;
3. Сервер приложений может быть соединен с сервером СУБД по протоколу TCP/IP, авторизироваться с СУБД можно как с помощью её средств, так и с помощью Windows-авторизации.

Каждое из звеньев можно защитить используя дополнительные ограничения по необходимым хостам и портам.

Если же будет использоваться двухзвенная архитектура, на сервере приложений (он же сервер СУБД) рекомендуется использовать авторизацию средствами СУБД.
С данными типами авторизации более подробно можно ознакомиться на сайтах производителей: Oracle, MS SQL Server, Firebird.
Дополнительно смотрите запись "Аутентификации пользователя в MS SQL Server".

При использовании доступа к конфигурации через WEB возможно использование SSL-соединения с использованием серверного и клиентского сертификата.

Схематически данные уровни защиты можно изобразить так:

Второй часто задаваемый вопрос - вопрос по безопасности.
Давайте разделим его на части:
1. Аутентификация и получение доступа к данным.
2. Безопасность передачи данных.
3. Виды прав в системе.
4. Логгирование.

Аутентификация и получение доступа к данным
Доступ к любой системе начинается с логина.
Тесно интегрируясь с Active Directory (AD), платформа Terrasoft позволяет использовать все ее преимущества. Вы можете импортировать пользователей AD, изменять им пароль и т.п.
Но, использование AD вовсе не обязательно. Платформа интегрирована, также, с системами безопасности всех поддерживаемых СУБД (более того, если позволяет СУБД, Вы можете использовать связку AD-система безопасности СУБД). Для каждого пользователя Terrasoft в СУБД создаётся пользователь и, все права в системе раздаются на уровне СУБД.
Такая схема обеспечивает максимально возможный уровень безопасности доступа к данным.

Безопасность передачи данных
Любая система, реализованная на платформе Terrasoft, позволяет использовать web-сервисы для работы с сервером приложений. Web-сервисы, в свою очередь, поддерживают подключение с использованием SSL протокола - стандарта де-факто для передачи защищённый данных в сети (Вы используете этот протокол, например, расплачиваясь кредитной картой в интернет-магазинах).
При необходимости, можно использовать дополнительные программно-аппаратные средства, например, для дополнительного шифрования трафика.

Виды прав в системе
Субъектом раздачи прав являются пользователи либо группы пользователей. При этом группы могут быть вложенными, а пользователи могут находиться одновременно в нескольких группах.
Платформа Terrasoft 3.X поддерживает следующие виды прав:
1. Доступ к таблице/группам таблиц - чтение/запись/изменение доступа.
2. Доступ к записям - чтение/запись/изменение доступа
3. Доступ к полям - чтение/запись.
Еще раз повторюсь, что эти права раздаются на уровне СУБД. Поэтому получив прямой доступ к СУБД, Ваш сотрудник увидит ту же информацию что и в системе.

Логгирование
Платформа обладает очень мощным инструментарием логгирования. На уровне пользователя, можно настроить какие объекты и поля системы нужно логгировать и платформа сама выполнит все необходимые операции для настройки логгирования на уровне СУБД. Это позволит увидеть кто, когда изменил запись; старое и новое значение каждого логгируемого поля. Реализация логгирования именно на уровне СУБД, позволяет логгировать абсолютно все изменения данных, как из приложений Terrasoft, так и из внешних приложений (например, при интеграции).