Многие владельцы небольших компаний уверены, что взламывать их незачем: мол, что у нас красть, мы не банк. Это одно из самых опасных заблуждений. Злоумышленники редко охотятся за конкретной фирмой, чаще они запускают автоматические атаки на тысячи адресов и забирают тех, кто плохо защищён. Небольшая компания попадает в эту сеть не потому, что она интересна, а потому, что она проще. Хорошая новость в том, что базовая защита не требует больших бюджетов: большинство успешных атак использует одни и те же слабости, и закрыть их вполне по силам.
Почему небольшой бизнес оказывается в зоне риска
У крупной организации есть специалисты, регламенты и дорогие системы. У небольшой компании чаще всего нет ничего из перечисленного: компьютерами занимается «тот, кто разбирается», пароли записаны на листочках, а резервные копии делаются, когда о них вспомнят. При этом ценных данных хватает: списки клиентов, платёжные реквизиты, договоры, переписка, доступы к банковским кабинетам и рекламным аккаунтам.
Вторая причина уязвимости — доверие. В небольшом коллективе все друг друга знают, и если в почте приходит письмо «от директора» с просьбой срочно оплатить счёт, бухгалтер скорее выполнит просьбу, чем перепроверит её. Мошенники прекрасно знают эту психологию и строят атаки именно на ней.
Третья причина — последствия. Крупная компания переживёт неделю простоя, небольшая нередко нет. Заблокированные компьютеры, потерянная база заказов или опустошённый счёт могут стать фатальными. Поэтому цена профилактики несопоставимо ниже цены ликвидации последствий.
Пароли и вход в системы
Начнём с самого простого и самого эффективного. Слабые и повторяющиеся пароли остаются главным способом проникновения. Если один и тот же пароль используется в почте, в рабочей программе и на каком-нибудь форуме, то утечка данных с форума открывает злоумышленнику все остальные двери.
Что стоит сделать прямо сейчас:
- Завести для всех сотрудников менеджер паролей, который создаёт длинные уникальные пароли и сам подставляет их при входе. Помнить придётся только один главный пароль.
- Включить двухфакторную проверку везде, где она доступна: в почте, банковских кабинетах, облачных хранилищах, рекламных кабинетах и учётных записях администраторов.
- Отказаться от общих учётных записей, когда несколько человек работают под одним именем. Тогда невозможно понять, кто что сделал, и нельзя быстро закрыть доступ уволившемуся.
- Запретить хранение паролей в таблицах, заметках и на стикерах рядом с монитором.
Если можно выбрать лишь одну меру, выбирайте двухфакторную проверку. Даже если пароль украден, без второго подтверждения войти не получится. Для почты и финансовых кабинетов она обязательна: по почте восстанавливаются доступы ко всему остальному, поэтому взлом почтового ящика равносилен потере контроля над всей компанией.
Фишинг и социальная инженерия
Самые опасные атаки направлены не на компьютеры, а на людей. Фишинговое письмо имитирует сообщение от банка, поставщика, налоговой службы, службы доставки или коллеги. Оно торопит, пугает или обещает выгоду и просит перейти по ссылке, открыть вложение или назвать данные. Современные подделки выглядят аккуратно, а в некоторых случаях используют настоящие имена и реальные детали вашей работы, которые злоумышленники собрали в открытых источниках.
Научить сотрудников распознавать угрозу можно без дорогих курсов. Достаточно короткого разговора раз в квартал и нескольких простых правил. Любая просьба о срочном переводе денег или о смене реквизитов подтверждается по другому каналу, например звонком по известному номеру. Ссылки из писем не открываются, если письмо неожиданное, а адрес нужного сайта вводится вручную или берётся из закладок. Вложения с незнакомых адресов, особенно архивы и документы с просьбой «включить редактирование», не открываются вообще.
Полезно создать в коллективе культуру, в которой не стыдно ошибиться и признаться. Если сотрудник кликнул по подозрительной ссылке и промолчал из страха, ущерб растёт с каждым часом. Если он сразу сообщил, проблему можно локализовать за считаные минуты: сменить пароли, отключить компьютер от сети, проверить систему. Наказание за честность обычно приводит к тому, что инциденты скрывают.
Как говорят опытные администраторы, самая надёжная защита — сотрудник, который не боится спросить: «А это письмо точно настоящее?
Резервные копии: страховка на худший день
Программы-вымогатели шифруют файлы и требуют выкуп за доступ. Для компании без резервных копий это тупик: платить страшно и не гарантирует результата, не платить значит потерять данные. Для компании с исправными копиями это неприятность на день-два. Разница в одном правиле, которое придумали задолго до нас.
Классическая схема звучит просто: три копии данных, на двух разных видах носителей, одна из которых хранится отдельно от основного места. Например, рабочие файлы на компьютере, вторая копия на внешнем диске в сейфе или другом помещении, третья в облачном хранилище. Важно, чтобы хотя бы одна копия не была постоянно подключена к сети: вымогатели умеют шифровать всё, до чего дотягиваются, включая подключённые диски и сетевые папки.
Не менее важна проверка. Копия, которую ни разу не пробовали восстановить, считается несуществующей. Раз в квартал выберите несколько файлов и убедитесь, что они открываются, а затем проведите полную репетицию: сколько времени занимает возврат к рабочему состоянию. Результат часто удивляет. Заодно решите, что именно подлежит копированию: база заказов, бухгалтерские данные, документы, почта, настройки программ. Забытая папка с договорами обнаруживается обычно в самый неудобный момент.
Обновления, защита компьютеров и сети
Каждая найденная в программе уязвимость быстро становится известна преступникам, а производители выпускают исправления. Отложенное обновление — открытая дверь. Включите автоматическое обновление операционных систем, браузеров, офисных пакетов и программ для работы с документами. Не пользуйтесь программами, которые больше не поддерживаются разработчиком: для них исправлений не будет никогда.
Антивирусная защита по-прежнему нужна, хотя и не решает всех проблем. Выберите одно решение для всех компьютеров, включите его на постоянной основе и не позволяйте сотрудникам отключать защиту, чтобы «быстрее работало». Отдельно позаботьтесь о мобильных устройствах, на которых открывается рабочая почта: блокировка экрана, шифрование и возможность удалённо стереть данные при потере.
Теперь о сети. Маршрутизатор в офисе нередко остаётся с заводским паролем администратора. Смените его, отключите удалённое управление, если оно не нужно, и обновите прошивку. Создайте отдельную гостевую сеть для посетителей и личных телефонов сотрудников, чтобы они не имели доступа к рабочим компьютерам и принтерам. Это занимает полчаса, а риск снижает заметно.
Не забывайте о правах доступа. Каждый сотрудник должен видеть только то, что нужно для его работы. Стажёру незачем открывать бухгалтерские папки, а обычному пользователю — иметь права администратора на компьютере. Чем меньше прав, тем меньше вреда способна причинить вредоносная программа, запущенная по ошибке.
Люди, процессы и план действий на случай беды
Технические меры работают только вместе с порядком в организации. Составьте перечень того, какими системами и учётными записями владеет компания: почта, банк, сайт, домен, хранилища, рекламные аккаунты, рабочие программы. Для каждой назначьте ответственного и запишите, у кого есть доступ. При увольнении сотрудника этот список превращается в чек-лист: доступы закрываются в тот же день, пароли общих сервисов меняются, устройства возвращаются.
Особое внимание стоит уделить внешним подрядчикам. Веб-студия, бухгалтер на аутсорсе, специалист по рекламе нередко получают широкие права и сохраняют их годами после окончания работ. Выдавайте минимально необходимый доступ, фиксируйте срок и регулярно пересматривайте, кто что имеет.
Теперь о плане на случай инцидента. Это одна страница, а не толстый регламент. Кто принимает решения? Кому звонить? Что делать в первые минуты: отключить заражённый компьютер от сети, но не выключать его без необходимости, сменить пароли с чистого устройства, уведомить банк, если речь о деньгах, сообщить клиентам, если затронуты их данные? Положите листок с номерами в бумажном виде: когда компьютеры не работают, электронный документ с планом бесполезен.
Если вы храните персональные данные клиентов, у вас есть обязанности по их защите, установленные законом. Выясните, какие именно, и при необходимости привлеките специалиста для разовой проверки. Это дешевле, чем разбирательства после утечки.
Итог: безопасность как привычка
Кибербезопасность небольшой компании — это не покупка волшебной коробки, а набор дисциплинированных привычек. Уникальные пароли и двухфакторная проверка, внимательность к письмам, регулярные обновления, проверенные резервные копии, разумное распределение прав и короткий план действий на случай беды закрывают подавляющее большинство реальных угроз.
Начните с малого. На этой неделе включите двухфакторную проверку в почте и банковских кабинетах. На следующей наладьте и проверьте резервное копирование. Через месяц проведите короткий разговор с командой о фишинге. К концу квартала у вас будет уровень защиты, который выше, чем у большинства соседей по рынку, а значит, вы перестанете быть самой лёгкой добычей. В этой области, как и в быту, главная цель не абсолютная неприступность, а достаточная сложность, при которой злоумышленнику проще пойти к другому.
