Ghid de securitate cibernetică și reziliență DMS pentru dealeri

1. Modelați suprafața reală de atac a dealerului

DMS-ul rareori funcționează izolat. Acesta schimbă date despre clienți, vehicule, prețuri, reparații, piese și contabilitate cu CRM, portalurile OEM, furnizorii de finanțare, site-uri web, sisteme de apeluri, instrumente de diagnosticare și foi de calcul. Rețelele sucursalelor includ terminale de birou, echipamente de service, Wi-Fi, imprimante, camere și acces la distanță al furnizorilor. Fiecare identitate și interfață face parte din granița operațională.

Începeți cu un inventar al activelor și fluxurilor de date. Înregistrați responsabilul, scopul, utilizatorii, administratorul, expunerea la internet, autentificarea, integrările, sensibilitatea datelor, furnizorul și dependența de recuperare. Includeți interfețele inactive și conturile robotizate. Conexiunile moștenite necunoscute sunt deosebit de periculoase deoarece pot păstra permisiuni ample după ce scopul lor de afaceri se încheie.

ENISA a analizat 4.875 de incidente pentru Peisajul Amenințărilor 2025. În subsetul său de criminalitate cibernetică, ransomware-ul a reprezentat 81,1%, în timp ce încălcările legate de ransomware au reprezentat 15,2% din totalul incidentelor. [1] Aceste numitoare sunt diferite și nu trebuie confundate. Lecția operațională este că dealerii au nevoie atât de prevenție, cât și de capacitate de recuperare.

2. Faceți din identitate planul de control al securității

Solicitați autentificare multifactor rezistentă la phishing acolo unde este disponibilă, în special pentru administratori, e-mail, acces la distanță și finanțe. Centralizați autentificarea unde este practic și blocați conturile de utilizator partajate. Conturile de serviciu au nevoie de responsabili, domenii restrânse, secrete rotite și fără utilizare interactivă. Credențialele API ar trebui stocate într-un manager de secrete, nu în scripturi sau tichete.

Implementați un proces de intrare, mutare și plecare care reflectă fluctuația de personal și schimbările de rol ale dealerului. Dezactivați accesul prompt la plecare, eliminați permisiunile vechi de sucursală la transfer și revizuiți periodic accesul privilegiat. Separați capacitatea de a crea un furnizor, de a aproba plăți, de a exporta date despre clienți și de a schimba setările de securitate.

Monitorizați locația neobișnuită de conectare, deplasările imposibile, exporturile în masă, schimbările de privilegii, jurnalele dezactivate și modificările masive ale înregistrărilor. Alertele au nevoie de responsabili și proceduri de răspuns. Păstrați jurnalele de audit în afara accesului contului monitorizat și sincronizați timpul între sisteme, astfel încât investigatorii să poată reconstitui evenimentele.

3. Reduceți expunerea tehnică și riscul de integrare

Aplicați mai întâi patch-uri pentru vulnerabilitățile expuse la internet și exploatate, folosind criticitatea activelor și dovezile de amenințare. Eliminați software-ul de control la distanță nesusținut și închideți porturile neutilizate. Segmentați dispozitivele de diagnosticare și service de serviciile de finanțe și identitate. Accesul furnizorilor ar trebui să fie limitat în timp, aprobat și monitorizat.

Securizați integrările ca software de producție. Validați schema și autorizarea, folosiți idempotența pentru a preveni evenimentele financiare duplicate, limitați datele returnate și protejați punctele finale webhook împotriva spoofing-ului și reluării. Aplicați credențiale separate pe mediu și partener. Un singur cont de integrare atotputernic anulează proiectarea rolurilor.

4. Proiectați recuperarea în jurul operațiunilor dealerului

Definiți obiectivul de punct de recuperare, obiectivul de timp de recuperare și întreruperea maximă tolerabilă pentru preluarea lead-urilor, programarea service-ului, piese, facturare, eliberarea vehiculului și salarizare. Dependențele contează: restaurarea DMS-ului fără identitate, DNS, stocare de documente sau o legătură OEM poate să nu restaureze un serviciu util.

Mențineți backup-uri imuabile sau izolate, protejate de credențiale separate de administrarea de producție. Testați restaurarea într-un mediu curat și verificați consistența datelor, nu doar existența fișierelor. Înregistrați timpul necesar și pașii manuali. Păstrați contactele furnizorilor și informațiile despre licențe într-un pachet de răspuns offline.

Pregătiți proceduri controlate de indisponibilitate: cum să verificați clienții, să captați munca, să autorizați eliberarea vehiculului, să înregistrați piesele, să protejați formularele pe hârtie și să reconciliați tranzacțiile după recuperare. Exersați cu liderii sucursalelor. Continuitatea manuală nu este o licență pentru a ocoli verificările privind frauda și confidențialitatea.

5. Tratați furnizorii ca parte a mediului de control

Solicitați dovezi proporționale cu riscul: găzduire și rezidența datelor, criptare, controale de identitate, jurnale de audit, dezvoltare sigură, gestionarea vulnerabilităților, asigurare independentă, abordarea testării de penetrare, istoricul incidentelor, sub-împuterniciții, continuitatea, returnarea și ștergerea datelor. Un certificat este util, dar nu răspunde dacă un dealer a configurat MFA sau permisiuni supradimensionate.

Contractele ar trebui să definească notificarea incidentelor, cooperarea, păstrarea dovezilor, țintele de recuperare, modificările sub-împuterniciților și suportul de ieșire. Cartografiați terții de rangul patru care pot perturba material serviciul. Reevaluați la reînnoire și după modificări majore de arhitectură sau proprietate.

Pentru datele personale, articolul 32 GDPR solicită operatorilor și persoanelor împuternicite să folosească măsuri adecvate riscului, inclusiv, după caz, criptare, reziliență, restaurare și testare periodică. [2] Acesta este bazat pe risc, nu o listă de verificare fixă.

6. Înțelegeți NIS2 și regulile privind vehiculele fără a exagera

NIS2 este Directiva (UE) 2022/2555, astfel încât statele membre o transpun în legislația națională. Domeniul de aplicare depinde de sector, tipul de entitate, regulile de dimensiune, alegerile naționale și desemnare. Fabricarea autovehiculelor apare în Anexa II, iar anumiți furnizori de cloud, servicii gestionate și digitale sunt categorii acoperite. Un dealer obișnuit nu intră automat în domeniul de aplicare doar pentru că vinde sau face service la vehicule. [3]

Chiar și atunci când un dealer se află în afara domeniului direct de aplicare, contractele cu OEM-ul sau furnizorii pot transmite cerințe. Entitățile acoperite se confruntă cu obligații de guvernanță, gestionare a riscurilor și raportare a incidentelor conform implementării naționale. Verificați entitatea juridică și legislația națională actuală, mai degrabă decât să vă bazați pe un rezumat la nivel de UE.

Regulamentele UNECE nr. 155 și 156 abordează securitatea cibernetică a vehiculelor și gestionarea actualizărilor software în cadrul de omologare. [4] Acestea privesc în primul rând producătorii și tipurile de vehicule aprobate, nu certificarea fiecărui DMS de dealer. Dealerii pot totuși susține actualizări software controlate, dovezi de campanie și escaladarea incidentelor în lanțul auto mai larg.

Unde se potrivește Omnetic

Modulele documentate ale Omnetic conectează fluxurile de lucru CRM, ciclul de viață al vehiculului, stocul, prețurile și inspecția. Mai puține transferuri necontrolate pot îmbunătăți vizibilitatea operațională, dar consolidarea concentrează de asemenea dependența și trebuie protejată corespunzător. Documentația produsului face referire la API-uri, webhook-uri, identificatori externi și exporturi programate, fără a publica un catalog public complet de securitate sau interfețe.

Înainte de selecție, cereți Omnetic să dovedească găzduirea, rezidența, criptarea, RBAC, MFA sau 2FA, jurnalele de audit, izolarea backup-urilor, testele de recuperare, termenii de incident, gestionarea vulnerabilităților, sub-împuterniciții și securitatea integrării. Validați configurația și responsabilitățile în țara și pachetul vizate.