אבטחת מידע לעסק קטן: הצעדים הבסיסיים שמונעים את רוב התקלות

בעלי עסקים קטנים נוטים לחשוב שמתקפות סייבר הן בעיה של בנקים, חברות ענק ומשרדי ממשלה. מי כבר ירצה לפרוץ למחשב של מספרה, משרד רואי חשבון או חנות אונליין קטנה? אבל המציאות שונה. דווקא עסקים קטנים הם מטרה נוחה, משום שלרוב אין להם צוות אבטחה, הם משתמשים בסיסמאות חלשות ואינם מגבים את המידע באופן מסודר. החדשות הטובות הן שרוב התקלות אפשר למנוע בעזרת כמה הרגלים פשוטים שאינם דורשים תקציב גדול או ידע טכני מעמיק.

למה דווקא עסקים קטנים

רוב המתקפות כיום אינן מכוונות לעסק מסוים. מדובר בניסיונות אוטומטיים שמחפשים פרצות בכל מקום שאפשר: סיסמאות שדלפו, תוכנות שלא עודכנו, עובדים שלוחצים על קישור במייל מזויף. העסק הקטן נפגע לא כי מישהו בחר בו, אלא כי הוא היה פגיע. מבחינת התוקף, אין הבדל גדול בין חשבון של תאגיד לבין חשבון של עסק משפחתי, כל עוד אפשר להפיק ממנו תועלת.

הנזק לעסק קטן עלול להיות כבד במיוחד. השבתה של כמה ימים, אובדן רשימת לקוחות או חשבוניות, או גניבה של חשבון רשת חברתית שבו נבנה קהל במשך שנים, יכולים לפגוע ישירות בהכנסה ובמוניטין. בניגוד לחברה גדולה, לעסק קטן אין בדרך כלל כרית ביטחון שתאפשר לו לספוג אירוע כזה בקלות.

סיסמאות: הבסיס של הבסיס

הצעד הראשון והחשוב ביותר הוא סיסמאות חזקות וייחודיות. סיסמה חזקה היא ארוכה, ועדיף שתהיה משפט שקל לזכור וקשה לנחש. אבל חשוב לא פחות שלכל שירות תהיה סיסמה אחרת. כשאתר כלשהו נפרץ והסיסמאות בו דולפות, תוקפים מנסים אותן באופן אוטומטי בשירותים אחרים, כמו תיבת הדואר, חשבון הבנק או מערכת ניהול האתר.

מכיוון שאי אפשר לזכור עשרות סיסמאות שונות, הפתרון המקובל הוא מנהל סיסמאות. זו תוכנה שמייצרת ושומרת סיסמאות חזקות, ומאפשרת להיכנס לכל השירותים בעזרת סיסמה ראשית אחת. רבים מהמנהלים מאפשרים גם שיתוף מבוקר של סיסמאות בין עובדים, כך שאין צורך לשלוח אותן בוואטסאפ או לרשום אותן על פתק שמודבק למסך.

אימות דו-שלבי בכל מקום אפשרי

אימות דו-שלבי מוסיף שכבת הגנה מעבר לסיסמה. גם אם מישהו השיג את הסיסמה שלכם, הוא יצטרך גם קוד שנשלח לטלפון או שנוצר באפליקציה ייעודית. זה אחד הצעדים האפקטיביים ביותר שאפשר לעשות, והוא זמין כמעט בכל שירות מרכזי: דואר אלקטרוני, רשתות חברתיות, מערכות הנהלת חשבונות, אחסון ענן ובנקים.

מומלץ להעדיף אפליקציית אימות על פני הודעות טקסט, משום שהודעות עלולות להיות מיורטות במקרים מסוימים. במיוחד חשוב להפעיל אימות דו-שלבי על תיבת הדואר הראשית של העסק, כי דרכה אפשר לאפס סיסמאות של כמעט כל שירות אחר. מי שמשתלט על תיבת הדואר, משתלט בפועל על כל העסק.

גיבויים שבאמת אפשר לשחזר

אחד האיומים הנפוצים הוא תוכנת כופרה, שמצפינה את הקבצים ודורשת תשלום כדי לשחרר אותם. ההגנה הטובה ביותר מפני כופרה היא גיבוי עדכני ומנותק. אם יש לכם עותק נקי של המידע, תוכלו לשחזר אותו בלי לשלם ובלי להיות תלויים ברצון הטוב של התוקפים.

כלל אצבע מקובל הוא לשמור כמה עותקים של המידע החשוב, על יותר מסוג אחד של אמצעי אחסון, ולפחות עותק אחד מחוץ למשרד או בענן נפרד. אבל גיבוי שלא נבדק הוא הימור. כדאי לנסות מדי פעם לשחזר קובץ או תיקייה מהגיבוי, כדי לוודא שהתהליך עובד ושאתם יודעים לבצע אותו ברגע של לחץ.

עדכוני תוכנה הם לא המלצה

הודעות על עדכונים זמינים נוטות להופיע ברגע הכי פחות נוח, ורבים לוחצים על "הזכר לי מאוחר יותר" שוב ושוב. אבל עדכונים רבים כוללים תיקוני אבטחה לפרצות שכבר ידועות לתוקפים. מחשב, טלפון, נתב או אתר שלא עודכנו הם דלת פתוחה.

זה נכון במיוחד לאתרי אינטרנט שמבוססים על מערכות ניהול תוכן ותוספים. תוסף ישן שלא עודכן במשך זמן רב הוא אחת הדרכים הנפוצות לפריצה לאתרים. כדאי להפעיל עדכונים אוטומטיים היכן שאפשר, להסיר תוספים שאינם בשימוש ולבחור ספקי אחסון שמקפידים על תחזוקה שוטפת.

העובדים הם קו ההגנה הראשון

חלק גדול מהפריצות מתחיל בהודעה שנראית לגיטימית: מייל מספק שמבקש לעדכן פרטי חשבון בנק, הודעה על חבילה שממתינה למשלוח, או בקשה דחופה מ"המנהל" להעביר כסף. התוקפים משתמשים בלחץ, בדחיפות ובסמכות כדי לגרום לאנשים לפעול בלי לחשוב.

הדרכה קצרה לעובדים יכולה למנוע הרבה צרות. כמה כללים פשוטים שכדאי להטמיע:

• לא ללחוץ על קישורים בהודעות לא צפויות, גם כשהן נראות מוכרות
• לאמת כל בקשה להעברת כסף או לשינוי פרטי בנק בשיחה ישירה עם הגורם המוכר
• לדווח מיד על כל דבר חשוד, בלי חשש מנזיפה
• לא להתקין תוכנות או תוספים בלי אישור

תרבות ארגונית שבה מותר לטעות ולדווח חשובה מאוד. עובד שחושש שינזפו בו יעדיף להסתיר טעות, ואז הנזק עלול להתרחב.

מה עושים כשמשהו כבר קרה

גם עם כל ההגנות, אירוע עלול לקרות. כדאי להכין מראש תוכנית פשוטה: מי מחליט, למי פונים, איך מנתקים מחשב חשוד מהרשת ואיך מחליפים סיסמאות במהירות. רשימת אנשי קשר חשובים, כולל איש מחשבים, ספק האחסון וחברת הביטוח, צריכה להיות זמינה גם מחוץ למחשב.

במקרים של פגיעה במידע אישי של לקוחות, ייתכן שיש חובה לדווח לגורמים מוסמכים. כדאי להתייעץ עם איש מקצוע בתחום אבטחת המידע ועם יועץ משפטי כדי להבין מה החובות של העסק ואיך לפעול נכון.

לסיכום, אבטחת מידע בעסק קטן אינה דורשת מערכות יקרות. סיסמאות חזקות ומנהל סיסמאות, אימות דו-שלבי, גיבויים שנבדקים, עדכוני תוכנה והדרכת עובדים מכסים את רוב הסיכונים. מי שמקדיש לכך כמה שעות היום חוסך לעצמו ימים של השבתה ונזק בעתיד.