Mažos įmonės dažnai galvoja, kad kibernetinių nusikaltėlių jos nedomina. Statistika sako priešingai: būtent mažos įmonės yra dažniausias taikinys, nes jų apsauga silpniausia, o vienas užšifruotų duomenų incidentas gali sustabdyti veiklą savaitėms. Gera žinia ta, kad didžioji dalis rizikos pašalinama ne brangiais sprendimais, o dešimčia pagrindų, kuriuos galima įgyvendinti per savaitę be IT skyriaus. Kur.lt požiūris: pirmiausia uždaryti dažniausias duris, tada svarstyti sudėtingesnius sprendimus.

1. Atsarginės kopijos, kurių negali pasiekti užpuolikas

Tai svarbiausias punktas sąraše, nes jis nulemia, ar išpirkos reikalaujantis virusas yra katastrofa, ar nepatogumas. Taisyklė: trys kopijos, du skirtingi laikmenų tipai, viena kopija atjungta nuo tinklo. Praktiškai tai reiškia automatinę kopiją į NAS įrenginį su versijų istorija ir savaitinę kopiją į išorinį SSD, kuris po kopijavimo atjungiamas ir laikomas kitoje vietoje. Kopija, kuri nuolat prijungta prie tinklo, užšifruojama kartu su viskuo.

2. Dviejų veiksnių patvirtinimas visur, kur įmanoma

El. paštas, banko sistema, buhalterinė programa, debesų saugykla, socialiniai tinklai. Įjungus antrą patvirtinimo veiksnį, pavogtas slaptažodis vienas pats nieko nebeduoda. Rinkitės programėlę arba fizinį raktą, ne SMS, kur tik galima, ir būtinai išsaugokite atsarginius kodus saugioje vietoje.

3. Slaptažodžių tvarkyklė vietoj vieno slaptažodžio visur

Dažniausias mažų įmonių incidentas: darbuotojo slaptažodis nutekėjo iš kokios nors svetainės, o tas pats slaptažodis saugojo ir įmonės paštą. Slaptažodžių tvarkyklė sugeneruoja unikalų slaptažodį kiekvienai sistemai ir leidžia saugiai dalintis prieigomis komandoje, o išeinant darbuotojui – vienu veiksmu jas atšaukti.

4. Atnaujinimai, kurie įsidiegia patys

Dauguma įsilaužimų išnaudoja spragas, kurioms pataisymas egzistuoja jau mėnesius. Įjunkite automatinius atnaujinimus operacinėse sistemose, naršyklėse ir, kas dažnai pamirštama, maršrutizatoriuje bei NAS įrenginyje. Įranga, kuriai gamintojas atnaujinimų nebeleidžia, turi būti pakeista, o ne palikta „kol veikia“.

5. Tinklo padalijimas: svečiai ir prietaisai atskirai

Kavinės lankytojų telefonai, biuro spausdintuvas, kameros ir išmanusis televizorius neturi būti tame pačiame tinkle kaip kompiuteris su buhalterija. Šiuolaikinis maršrutizatorius su ugniasiene leidžia sukurti izoliuotą svečių tinklą per kelias minutes, o kiek didesniam biurui valdomas komutatorius su VLAN atskiria darbo vietas, prietaisus ir svečius fiziškai tame pačiame kabelyje.

6. El. pašto apsauga ir sukčiavimo atpažinimas

Didžioji dalis atakų prasideda laišku: sąskaita nuo „tiekėjo“ su pakeistais banko rekvizitais, vadovo prašymas skubiai pervesti pinigus, nuoroda „patvirtinti paskyrą“. Techninė dalis – įjungtas laiškų filtras ir SPF, DKIM bei DMARC įrašai jūsų domenui, kad niekas negalėtų siųsti laiškų jūsų vardu. Žmogiškoji dalis – paprasta taisyklė: bet koks rekvizitų pakeitimas ar skubus pervedimas patvirtinamas skambučiu žinomu numeriu, ne atsakymu į laišką.

7. Įrenginių politika: šifravimas ir užraktas

Kiekvienas nešiojamas kompiuteris ir telefonas su įmonės duomenimis turi būti užšifruotas (BitLocker, FileVault, telefonuose tai numatytasis nustatymas) ir užrakinamas po kelių minučių neveiklumo. Pamestas kompiuteris tada yra tik geležies netektis. Įsidėkite taisyklę, kad įmonės duomenys negyvena asmeniniuose USB raktuose ir asmeninėse debesų paskyrose.

8. Prieigų minimumas

Kiekvienas darbuotojas turi prieigą tik prie to, ko reikia darbui, ir be administratoriaus teisių kasdieniame kompiuteryje. Tai skamba biurokratiškai, bet kasdienė paskyra be administratoriaus teisių sustabdo didžiąją dalį kenkėjiškų programų dar prieš joms įsidiegiant. Išeinantiems darbuotojams prieigos atšaukiamos tą pačią dieną, pagal iš anksto paruoštą sąrašą.

9. Stebėjimas: žinoti, kas vyksta

Nereikia sudėtingų sistemų: užtenka įjungti pranešimus apie prisijungimus iš naujų įrenginių el. pašte ir banke, kartą per mėnesį peržiūrėti maršrutizatoriaus prijungtų įrenginių sąrašą ir tikrinti, ar atsarginės kopijos iš tiesų vyksta. Dauguma incidentų pastebimi vėlai ne dėl technologijų trūkumo, o dėl to, kad niekas nežiūrėjo.

10. Planas blogiausiam atvejui

Vienas puslapis su atsakymais: ką atjungti pirmiausia, kas skambina IT partneriui, kur yra atjungtos kopijos, kaip pranešti klientams ir, jei tvarkomi asmens duomenys, per kiek laiko reikia informuoti priežiūros instituciją. Planas, parašytas ramiu metu, sutaupo valandas panikos.

Savaitės planas

Pirmadienis – kopijos ir jų patikra. Antradienis – dviejų veiksnių patvirtinimas ir slaptažodžių tvarkyklė. Trečiadienis – atnaujinimai ir įrangos, kuriai jų nebėra, sąrašas. Ketvirtadienis – svečių tinklas ir maršrutizatoriaus nustatymai. Penktadienis – el. pašto įrašai, įrenginių šifravimas ir vieno puslapio planas. Kur.lt patirtis rodo, kad būtent šie dešimt pagrindų, o ne brangi programinė įranga, skiria įmones, kurios incidentą išgyvena per dieną, nuo tų, kurios jį prisimena metų metus.

Dažniausi klausimai

Ar mažai įmonei reikia antivirusinės programos, jei yra įmontuota apsauga? Įmontuota apsauga šiandien yra rimta bazė. Papildoma priemonė prasminga, jei reikia centralizuoto valdymo keliems kompiuteriams ir ataskaitų; svarbiausia, kad ji būtų įjungta ir atnaujinta.

Kiek kainuoja įgyvendinti šiuos dešimt pagrindų? Didžioji dalis nekainuoja nieko, tik laiko. Realios išlaidos yra NAS įrenginys kopijoms, išorinis diskas ir, jei reikia, naujesnis maršrutizatorius, o tai vis tiek mažiau nei viena diena prastovos.

Ar debesų paslaugos pačios pasirūpina saugumu? Tiekėjas saugo infrastruktūrą, bet ne jūsų paskyras: silpnas slaptažodis be dviejų veiksnių patvirtinimo debesyje yra tokia pati rizika kaip ir vietiniame serveryje.

Nuo ko pradėti, jei laiko turiu tik vienai dienai? Nuo atjungtos kopijos ir dviejų veiksnių patvirtinimo el. paštui bei bankui. Šie du žingsniai neutralizuoja dažniausius ir skaudžiausius scenarijus.