Kibernetinis saugumas įmonei: kontrolinis sąrašas

Kibernetinis saugumas įmonei reiškia sumažinti įsilaužimo, duomenų praradimo, sukčiavimo ir prastovų riziką skaitmeninėse sistemose. Maža Lietuvos įmonė turėtų pradėti nuo stiprių slaptažodžių, dviejų faktorių autentifikacijos, atnaujinimų, atsarginių kopijų, prieigos valdymo ir teisingai sukonfigūruotos svetainės.

Mažos įmonės puolamos ne todėl, kad jos garsios, o todėl, kad yra pasiekiamos ir dažnai turi silpnas rutinas. Kelias vidutines ar mažas įmones pulti gali būti taip pat pelninga, kaip vieną kartą pralaužti didelę korporaciją, todėl automatizuoti sukčiavimo ir įsilaužimo bandymai nesirenka aukos pagal dydį. Pamiršta administratoriaus paskyra, senas papildinys, keliose vietose naudojamas tas pats slaptažodis ar niekada netestuota atsarginė kopija gali pakakti. Saugumas retai dramatiškas, kai jis veikia. Jis tiesiog tvarkingas.

Norite žinoti, kokios spragos šiuo metu matomos jūsų svetainėje? Išbandykite nemokamą wevo svetainės saugumo patikrą ir gaukite aiškų sąrašą, ką verta pasitaisyti pirmiausia.

Ką kibernetinis saugumas reiškia mažai įmonei?

Kibernetinis saugumas apima viską, kas saugo skaitmenines vertybes: svetainę, el. paštą, domeną, CRM, failus, slaptažodžius, mokėjimų srautą, klientų duomenis ir prieigas, kurias naudoja darbuotojai. NKSC (Nacionalinis kibernetinio saugumo centras) skelbia rekomendacijas, kurių pagrindiniai principai apima vertybių identifikavimą, jų apsaugą bei incidentų aptikimą ir valdymą. Mažai įmonei tai nereiškia, kad pirmiausia reikia storų ataskaitų. Tai reiškia praktinius įpročius, kurių iš tikrųjų laikomasi.

Įsivaizduokite Ievą, kuri valdo nedidelę kliniką Vilniuje. Ji turi svetainę, kontaktų formą, el. paštą, rezervacijas, apskaitą ir kelis darbuotojus, naudojančius tuos pačius kompiuterius registratūroje. Jei viena paskyra perimama, užpuolikas gali skaityti el. paštą, siųsti netikras sąskaitas ar keisti svetainę. Kibernetinis saugumas padeda tokius incidentus padaryti sunkiau įvykdomus, mažiau žalingus ir greičiau sutvarkomus.

Kodėl mažos įmonės apskritai yra taikinys?

Daugelis savininkų mano, kad jų įmonė per maža, kad kam nors būtų įdomi. Realybėje dauguma atakų prieš mažas ir vidutines įmones nėra nukreiptos asmeniškai. Tai automatizuoti bandymai, kurie tiesiog nuskaito tūkstančius svetainių ir paskyrų, ieškodami silpniausios vietos: seno papildinio, pakartotinio slaptažodžio, atviro administratoriaus lango. Mažai įmonei skaudžiausia būna ne pati ataka, o tai, kas eina po jos: dienos be veikiančios svetainės, el. paštu išsiuntinėtos netikros sąskaitos ir klientai, kurie apie incidentą sužino anksčiau už jus.

1. Įjunkite dviejų faktorių autentifikaciją el. paštui, domenui, talpinimui, CMS, CRM ir apskaitai.
2. Naudokite slaptažodžių tvarkyklę ir nustokite kartoti slaptažodžius keliose paslaugose.
3. Pašalinkite senus vartotojus iš svetainės, talpinimo, Google paskyrų ir specializuotų sistemų.
4. Reguliariai atnaujinkite svetainę, papildinius, temą, serverį ir bibliotekas.
5. Nustatykite automatines atsargines kopijas ir patikrinkite, ar jos atkuriamos.
6. Naudokite HTTPS, saugias formas ir gerą apsaugą nuo šlamšto svetainėje.
7. Sukurkite trumpą veiksmų planą, kas ką daro, jei kas nors nutinka.

Koks skirtumas tarp gero ir silpno kibernetinio saugumo?

Silpnos saugumo praktikos gali veikti mėnesius, todėl atrodo pakankamos. Problema paaiškėja tik įvykus sutrikimui. Jei neveikia svetainė, forma gauna šlamšto žinutes, pažeidžiama paskyra ar nepavyksta atkurti atsarginės kopijos, prarandama daug laiko ir klientų pasitikėjimo. Todėl saugumą verta tikrinti reguliariai, o ne tik po incidento.

Domenas nusipelno papildomo dėmesio. Jei kas nors perima domeno ar DNS kontrolę, jie gali nukreipti srautą, piktnaudžiauti el. paštu ar padaryti svetainę nepasiekiamą. Naudokite dviejų faktorių autentifikaciją pas domeno tiekėją, apribokite, kas turi prieigą, ir dokumentuokite, kur domenas registruotas.

Kaip apsaugoti pačią svetainę?

Svetainė dažnai turi daugiau įėjimo taškų, nei mano savininkas: CMS prisijungimą, talpinimo skydelį, domeno tiekėją, formas, analitikos įrankius, trečiųjų šalių scenarijus, API raktus ir senas testavimo aplinkas. Statinė ar individualiai koduota svetainė dažnai turi mažiau judančių dalių nei sunki, papildiniais pagrįsta sistema, bet joks sprendimas savaime nėra saugus. Konfigūracija svarbesnė už etiketę.

• Naudokite tik būtinus scenarijus ir integracijas.
• Užtikrinkite, kad formos tikrina duomenis ir saugo nuo šlamšto.
• Laikykite slaptus raktus atokiai nuo frontend kodo.
• Nustatykite tinkamas saugumo antraštes ten, kur tinka.
• Naudokite atskiras aplinkas kūrimui ir produkcijai.
• Registruokite klaidas ir stebėkite neįprastą srautą.
• Turėkite paprastą mėnesinės svetainės priežiūros rutiną.

VDAI nurodo, kad įmonės turi taikyti tinkamas technines ir organizacines priemones, kai tvarkomi asmens duomenys. Svetainei tai reiškia, kad kontaktų formas, analitiką, saugojimą ir prieigą reikia įvertinti. Saugumo nereikia daryti sudėtingo. Reikia žinoti, kokius duomenis renkate, kodėl juos renkate ir kas gali juos matyti.

Ką daryti, jei manote, kad svetainė pažeista?

Nepradėkite spausti atsitiktinai. Pradėkite ribodami žalą. Pakeiskite slaptažodžius iš saugaus kompiuterio, išjunkite įtartinus vartotojus, susisiekite su talpinimo paslaugos teikėju, išsaugokite žurnalus (logs) ir patikrinkite, kas pasikeitė. Jei gali būti paveikti klientų duomenys, reikia įvertinti privatumo aspektą. Tai sritis, kur skuboti sprendimai gali padaryti dar daugiau žalos.

1. Laikinai išjunkite svetainę arba perjunkite ją į priežiūros režimą, jei ji skleidžia žalą.
2. Pakeiskite slaptažodžius ir pakeiskite API raktus paveiktoms paslaugoms.
3. Patikrinkite administratorių paskyras, failus, formas ir naujausius pakeitimus.
4. Atkurkite iš švarios atsarginės kopijos, jei žinote, kada problema prasidėjo.
5. Dokumentuokite, kas įvyko ir kurie duomenys galėjo būti paveikti.
6. Uždarykite spragą prieš vėl paleisdami svetainę.

Kaip wevo praktiškai dirba su kibernetiniu saugumu?

Kurdamas svetainę, nuo pat pradžių stengiuosi sumažinti atakos paviršių: mažiau nereikalingų priklausomybių, tvarkingas kodas, saugios formos, kontroliuojami aplinkos kintamieji ir suprantama veikla. Įmonėms, kurios jau turi svetainę, pradedu nuo praktinio patikrinimo: prieiga, atnaujinimai, formos, talpinimas, atsarginės kopijos, našumas ir matomos klaidos. Tam pačiam pirminiam vaizdui gauti tinka ir wevo svetainės saugumo patikra, kuri per kelias minutes parodo dažniausias spragas.

Saugumas taip pat susijęs su greičiu ir kokybe. Sunkus puslapis su senais scenarijais dažnai yra ir lėtesnis, ir labiau pažeidžiamas. Todėl šis kontrolinis sąrašas susijęs su svetainės greičio optimizavimu ir su tuo, kodėl lėta svetainė praranda klientus. Gera techninė higiena padaro puslapį greitesnį, saugesnį ir lengviau prižiūrimą.

Žmogiškoji rutina tokia pat svarbi kaip ir technika. Nauji darbuotojai turėtų gauti tinkamą prieigą, ne daugiau. Kai kas nors išeina, prieigą reikia panaikinti tą pačią dieną. Tai atrodo smulkmena, bet dažnai būtent tokios mažos rutinos skiria tvarkingą įmonę nuo tos, kuriai tenka tvarkytis po incidento.

Užsirašykite rutiną, kitaip ji išnyks, kai kasdienybė taps įtempta.