Open-source CRM a bezpieczeństwo danych — mity i fakty

“Open-source jest niebezpieczny bo każdy może zobaczyć kod.”

To argument, który słyszę od managerów IT rozważających migrację z HubSpota. I jest mylny — w obie strony.

Ten artykuł wyjaśnia jak naprawdę wygląda bezpieczeństwo open-source CRM vs. zamkniętych platform SaaS.

Mit 1: “Otwarty kod = każdy może go zhakować”

Fakty:

Otwarty kod źródłowy oznacza, że każdy może go przejrzeć — w tym badacze bezpieczeństwa, którzy aktywnie szukają podatności i je zgłaszają. To model zwany “security through transparency”.

Zamknięty kod (closed source) nie jest odporny na ataki — jest po prostu mniej przeglądany publicznie. Ale zaawansowani hakerzy i tak analizują skompilowane binaria, piszą exploity i atakują SaaS.

Historia lubi otwartość:
OpenSSL, Linux kernel, Apache — to open-source software odpowiedzialne za infrastrukturę krytyczną. Ich podatności są znajdowane szybciej (i łatane szybciej) właśnie dlatego, że tysiące oczu je analizuje.

Dla Twenty CRM: 43 000+ gwiazdek na GitHubie = duża społeczność programistów aktywnie przeglądających kod. Każda podatność zgłoszona publicznie jest łatana przy kolejnym release.

Mit 2: “SaaS jest bezpieczniejszy bo dostawca się tym zajmuje”

Fakty:

SaaS przenosi odpowiedzialność za infrastrukturę na dostawcę — ale nie eliminuje ryzyk. Wprowadza inne:

Ryzyko 1: Naruszenie danych po stronie dostawcy
HubSpot miał incydenty bezpieczeństwa. Salesforce miał incydenty bezpieczeństwa. Twoje dane u nich to dane na ich serwerach, dostępne ich pracownikom, z ich polityką bezpieczeństwa. Naruszenie danych u dostawcy = naruszenie Twoich danych klientów.

Ryzyko 2: Niedostępność usługi
Kiedy AWS us-east-1 ma outage, HubSpot jest niedostępny. Nie masz wpływu na to kiedy i jak długo.

Ryzyko 3: Dostęp do danych przez dostawcę
Warunki korzystania z HubSpota (jak większości SaaS) dają dostawcy dostęp do danych w celach operacyjnych, analitycznych, a od 2024 roku — treningowych dla AI. Twoje pipelines sprzedażowe mogą być danymi treningowymi.

Self-hosted eliminuje te ryzyki — ale przenosi odpowiedzialność za bezpieczeństwo serwera na Ciebie (lub Twojego dostawcę wdrożenia).

Mit 3: “Self-hosted wymaga specjalisty od bezpieczeństwa”

Fakty:

Podstawowe bezpieczeństwo self-hosted CRM to standardowe “higieny” infrastruktury:

• Serwer za firewallem (tylko porty 80/443 otwarte publicznie)
• HTTPS z ważnym certyfikatem SSL/TLS
• Regularne aktualizacje systemu operacyjnego i aplikacji
• Backup danych (codziennie, z kopiami offsite)
• Silne hasła + 2FA dla wszystkich użytkowników

To nie jest rocket science — to standardowa administracja serwerem. Platformy jak Railway (gdzie hostujemy instancje klientów) mają to wbudowane.

Co robimy w FreeStack — konkretnie

Infrastruktura:

• Railway (infrastruktura Hetzner EU) — certyfikowane centra danych, SOC 2 Type II
• Każdy klient: własna, izolowana instancja — baza danych jednego klienta nie jest dostępna dla innego
• HTTPS by default, HSTS nagłówki, bez HTTP
• Firewall na poziomie platformy — tylko ruch HTTPS do aplikacji

Backup:

• Automatyczny backup bazy PostgreSQL co 24h
• Retencja: 30 dni
• Backup przechowywany w innej strefie geograficznej niż główna instancja
• Możliwość manualnego SQL dump w dowolnym momencie

Aktualizacje:

• Twenty CRM aktualizowany przy każdym stabilnym release
• System operacyjny: automatyczne security patches
• Powiadomienie klienta przed każdą aktualizacją aplikacji (12–24h wcześniej)

Dostęp:

• Tylko Ty i Twoi użytkownicy mają dostęp do instancji
• My mamy dostęp techniczny do serwera (potrzebny do administracji) — ale nie do Twoich danych w CRM
• Każdy dostęp techniczny logowany

Certyfikaty i compliance:

• Railway/Hetzner: ISO 27001, SOC 2, PCI DSS
• RODO: umowa powierzenia przetwarzania danych z każdym klientem
• Dane wyłącznie na serwerach w EU

Jak porównać bezpieczeństwo: czeklista

Przy ocenie CRM pod kątem bezpieczeństwa pytaj o:

Pytanie	HubSpot	Salesforce	Twenty CRM (FreeStack)
Gdzie fizycznie są dane?	USA (EU addon)	USA (EU addon)	EU (domyślnie)
Izolacja danych	Wspólna infrastruktura	Wspólna infrastruktura	Własna instancja
UMPP/DPA	Tak (aktywować manualnie)	Tak	Tak (standard)
Dostęp dostawcy do danych	Tak	Tak	Tylko techniczny
Export danych zawsze możliwy	Częściowy	Częściowy	Pełny SQL dump
Backup przez klienta	Nie	Nie	Tak
2FA	Tak	Tak	Tak

Kiedy SaaS jest bezpieczniejszym wyborem

Uczciwie — są scenariusze gdzie duży dostawca SaaS ma przewagę:

• Bardzo mała firma (1–3 osoby) — brak zasobów do zarządzania nawet podstawową infrastrukturą
• Brak dostawcy wdrożenia — self-hosted bez kogoś kto zarządza serwerem to ryzyko zaniedbania aktualizacji bezpieczeństwa
• Specyficzne wymagania compliance — niektóre certyfikaty (HIPAA, PCI DSS dla transakcji) wymagają specjalistycznej infrastruktury której mali dostawcy nie mają

Podsumowanie

Open-source CRM hostowany przez doświadczonego dostawcę w EU jest bezpieczniejszy niż SaaS w USA z punktu widzenia:

• Lokalizacji i kontroli danych
• Izolacji od innych klientów
• Braku dostępu dostawcy do treści danych

Jest porównywalny pod kątem bezpieczeństwa technicznego (HTTPS, backup, 2FA, aktualizacje).

Jeśli chcesz zapytać o konkretne aspekty bezpieczeństwa w kontekście Twojej firmy — umów bezpłatną konsultację. Chętnie omówimy Twoje wymagania compliance i pokażemy jak spełniamy je technicznie. Szczegóły infrastruktury każdego pakietu znajdziesz na stronie z pakietami.