אבטחת מידע לעסק קטן: הצעדים הבסיסיים שמונעים את רוב מתקפות הסייבר
עסקים קטנים הם יעד מועדף לתוקפים דווקא כי הם פחות מוגנים. אלה הצעדים הפשוטים והזולים שמקטינים דרמטית את הסיכון.
בעלי עסקים קטנים רבים משוכנעים שמתקפות סייבר הן בעיה של בנקים, חברות ענק ומשרדי ממשלה. מה כבר יש לתוקף לחפש אצל רואה חשבון עצמאי, חנות בגדים שכונתית או משרד אדריכלים עם חמישה עובדים? בפועל, דווקא עסקים קטנים הם יעד נוח. יש להם מידע בעל ערך, כמו פרטי לקוחות, חשבונות בנק וקבצים חיוניים, אבל לרוב אין להם מחלקת מחשוב או מערכות הגנה מתקדמות. החדשות הטובות הן שרוב המתקפות מנצלות חולשות בסיסיות, ושצעדים פשוטים יחסית יכולים לחסום את רובן. במדריך הזה נעבור על הבסיס שכל עסק קטן צריך.
להבין מאיפה מגיע האיום
הדמיון הפופולרי מציג האקרים שפורצים למערכות באמצעות קוד מתוחכם. במציאות, רוב המתקפות על עסקים קטנים מתחילות בדרכים הרבה יותר פשוטות. הנפוצה ביותר היא הודעת דיוג, כלומר מייל, הודעת טקסט או הודעה ברשת חברתית שמתחזה לגורם מוכר, כמו בנק, חברת משלוחים או ספק, ומבקשת ללחוץ על קישור או להזין פרטים.
איומים נפוצים נוספים הם סיסמאות חלשות או כאלה שדלפו משירות אחר, תוכנות שלא עודכנו ומכילות פרצות ידועות, ותוכנות כופרה שמצפינות את כל הקבצים ודורשות תשלום כדי לשחרר אותם. יש גם הונאות שמתמקדות בכסף ישירות, כמו מייל שנראה כאילו נשלח מספק קבוע ומבקש לעדכן את פרטי חשבון הבנק להעברת התשלום הבא.
ההבנה הזו חשובה, כי היא מראה שהגורם האנושי הוא החוליה המרכזית. טכנולוגיה עוזרת, אבל עובד אחד שלוחץ על קישור זדוני יכול לעקוף הרבה מערכות הגנה.
סיסמאות חזקות ואימות דו שלבי
הצעד הראשון והחשוב ביותר הוא לטפל בסיסמאות. סיסמה אחת שמשמשת בכמה שירותים היא סיכון גדול, כי ברגע שאחד השירותים נפרץ, התוקפים מנסים את אותה סיסמה בכל מקום אחר. כל שירות צריך סיסמה ייחודית וארוכה, ומנהל סיסמאות הוא הדרך המעשית לנהל את זה בלי לזכור עשרות סיסמאות.
אימות דו שלבי מוסיף שכבת הגנה קריטית. גם אם הסיסמה נגנבה, התוקף צריך גם קוד חד פעמי שנשלח לטלפון או נוצר באפליקציה ייעודית. כדאי להפעיל אימות כזה בכל מקום שבו הוא זמין, ובראש ובראשונה בתיבת המייל, בחשבון הבנק העסקי, בשירותי האחסון בענן ובמערכות הניהול של העסק.
עדכוני תוכנה הם לא המלצה אלא חובה
כל עדכון של מערכת ההפעלה, של הדפדפן או של תוכנה אחרת כולל לעיתים קרובות תיקון של פרצות אבטחה. כשהעדכון נדחה שוב ושוב, המחשב נשאר חשוף לפרצה שכבר ידועה לכולם, כולל לתוקפים. לכן חשוב להפעיל עדכונים אוטומטיים בכל המחשבים, הטלפונים והשרתים של העסק.
הדבר נכון גם לציוד שלעיתים שוכחים ממנו: הנתב, המדפסת המחוברת לרשת, מצלמות האבטחה ומערכת הקופה. כדאי לבדוק מדי פעם שגם הם מעודכנים, ולהחליף את סיסמאות ברירת המחדל שלהם, שלעיתים קרובות מופיעות במדריכים הפתוחים לכל.
גיבויים שעובדים באמת
גיבוי הוא קו ההגנה האחרון. אם כל השאר נכשל ותוכנת כופרה הצפינה את הקבצים, גיבוי עדכני ונפרד מאפשר לשחזר את המידע בלי לשלם לתוקפים. אבל גיבוי שנמצא על כונן שמחובר כל הזמן למחשב עלול להיות מוצפן גם הוא, ולכן חשוב שלפחות עותק אחד יישמר בנפרד, בענן או על כונן שמנותק מהרשת.
כלל אצבע מקובל הוא לשמור שלושה עותקים של המידע החשוב, בשני סוגי אחסון שונים, כשאחד מהם נמצא מחוץ למשרד. וחשוב לא פחות: לבדוק מדי פעם שאפשר באמת לשחזר מהגיבוי. גיבוי שמעולם לא נבדק עלול להתגלות כפגום בדיוק ברגע שהכי צריך אותו.
הדרכת עובדים ונהלים פשוטים
מכיוון שרוב המתקפות מנצלות טעויות אנוש, הדרכת העובדים היא אחת ההשקעות המשתלמות ביותר. הדרכה קצרה שמסבירה איך לזהות הודעת דיוג, מה לעשות כשמשהו נראה חשוד ולמי לפנות, יכולה למנוע נזק גדול. כדאי לחזור על ההדרכה מדי פעם ולשתף דוגמאות אמיתיות של ניסיונות הונאה שהגיעו לעסק.
כמה נהלים פשוטים שכדאי לאמץ:
- כל בקשה לשינוי פרטי חשבון בנק של ספק מאומתת בשיחת טלפון למספר המוכר, ולא למספר שמופיע בהודעה
- לא מתקינים תוכנות לא מוכרות על מחשבי העסק בלי אישור
- כל עובד מקבל רק את ההרשאות שהוא צריך לעבודה שלו
- כשעובד עוזב, מבטלים מיד את הגישות שלו לכל המערכות
- מדווחים מיד על כל חשד, גם אם מתברר בדיעבד שלא היה כלום
הגנה על רשת המשרד והעבודה מרחוק
הרשת האלחוטית של המשרד צריכה להיות מוגנת בסיסמה חזקה ובהצפנה עדכנית. כדאי ליצור רשת נפרדת לאורחים וללקוחות, כך שמי שמתחבר לאינטרנט במשרד לא יקבל גישה למחשבים ולמדפסות של העסק. גם הנתב עצמו צריך סיסמת ניהול חזקה ועדכונים שוטפים.
עובדים שעובדים מהבית או מבתי קפה חשופים לסיכונים נוספים. רשתות ציבוריות אינן מאובטחות, ומחשבים ביתיים משמשים לעיתים גם את בני המשפחה. כדאי לקבוע כללים לעבודה מרחוק, להשתמש בחיבור מאובטח כשניגשים למערכות העסק, ולוודא שגם המחשבים הניידים מוגנים ומעודכנים.
מתי לפנות לאנשי מקצוע
הצעדים שתיארנו מכסים את הבסיס, ורוב העסקים הקטנים יכולים ליישם אותם בעצמם. אבל עסק שמחזיק מידע רגיש במיוחד, כמו מידע רפואי, פיננסי או פרטים מזהים של לקוחות רבים, צריך לשקול ייעוץ של מומחה אבטחת מידע. גם חובות לפי דיני הגנת הפרטיות עשויות לחול על העסק, וכדאי לברר אותן עם יועץ משפטי.
בנוסף, כדאי להכין מראש תוכנית פעולה למקרה של אירוע: את מי מתקשרים, איך מנתקים מחשב נגוע מהרשת, ואיך משחזרים מגיבוי. שעה של הכנה עכשיו יכולה לחסוך ימים של שיתוק כשמשהו באמת קורה. יש גם ביטוחי סייבר ייעודיים לעסקים, וכדאי לבדוק עם סוכן הביטוח אם הם מתאימים לכם.
לסיכום, אבטחת מידע בעסק קטן אינה דורשת תקציב עתק. סיסמאות ייחודיות ואימות דו שלבי, עדכוני תוכנה, גיבויים נפרדים ונבדקים, הדרכת עובדים, רשת מאובטחת ותוכנית לשעת חירום חוסמים את רוב המתקפות הנפוצות, ומאפשרים לכם להמשיך לעבוד בראש שקט.
