Як перевірити кібербезпеку компанії, якщо в нас немає свого спеціаліста з безпеки?

Без власного спеціаліста кібербезпеку компанії перевіряють у два кроки: спершу власник разом із тим, хто веде IT, за дві години проходить самоперевірку за безкоштовними чеклістами, а потім замовляє незалежну зовнішню оцінку тих місць, де відповідь була «не знаю». Пентест і постійну програму перевірок підключають пізніше: коли є власний продукт, вимога клієнта чи ризики в кількох місцях одразу.

Нижче чотири варіанти перевірки в одній таблиці, план самоперевірки на дві години, який власник може зробити сам, і чіткі ознаки того, що час звати сторонніх.

Коротко

• Самоперевірка нічого не коштує, крім часу, і показує базу: акаунти, пошту, бекапи, оновлення.
• Зовнішня оцінка безпеки дає незалежний погляд на доступи, хмару і процеси та звіт з пріоритетами.
• Пентест (ручна спроба зламати ваші системи з дозволу) потрібен, коли є власний сайт із кабінетом, API чи платежі.
• Програма безпеки збирає кілька перевірок в один план на рік, коли ризики в кількох місцях.
• Почніть із самоперевірки: вона покаже, що саме замовляти далі і чи потрібно взагалі.

Чотири способи перевірити безпеку

Що таке самоперевірка і з чим її робити

Самоперевірка безпеки означає, що власник разом із тим, хто веде IT, проходить короткий перелік питань і налаштувань і чесно відповідає, що працює насправді, а що лише «має працювати». Вона не замінює незалежну перевірку, але відсіює очевидне і показує, куди дивитися далі.

Для неї не треба вигадувати власний список. Безкоштовні чеклісти від державних агенцій написані саме для невеликих компаній:

• NCSC (Національний центр кібербезпеки Великої Британії): посібник для малих організацій про бекапи, пристрої, акаунти, пошту і фішинг. ^[1]
• ENISA (Агентство ЄС з кібербезпеки): 12 кроків для малого і середнього бізнесу. ^[2]
• NIST (Національний інститут стандартів США): короткий посібник CSF 2.0 для малого бізнесу. ^[3]
• CIS Controls IG1: 56 базових заходів, які реально впровадити з обмеженою експертизою. ^[4]
• Cyber Essentials: п'ять технічних заходів, що захищають від найпоширеніших атак з інтернету. ^[5]

З інструментів вистачить двох. internet.nl безкоштовно перевіряє сайт і пошту вашого домену. ^[6] Microsoft Secure Score у порталі Microsoft Defender показує, які рекомендовані налаштування безпеки у вашому Microsoft 365 увімкнені, а які ні. Сама Microsoft попереджає, що це не міра ймовірності злому, а лише ступінь використання засобів захисту. ^[7]

Самоперевірка за 2 години: план для власника

Візьміть того, хто веде ваше IT, відкрийте адмін-центр пошти і пройдіть шість блоків по 20 хвилин. Записуйте кожну відповідь «не знаю»: це вже знахідка.

1. Акаунти й MFA (20 хвилин). У кого в пошті не ввімкнений другий фактор входу? Потім пройдіться по банк-клієнту, бухгалтерській програмі, CRM, хостингу і реєстратору домену. Скільки людей мають права адміністратора і чи всі вони досі з вами?
2. Ті, хто пішов (20 хвилин). Візьміть список звільнених за рік і перевірте, чи закриті їхні доступи до пошти, файлів, CRM і робочих чатів. Те саме для колишніх підрядників.
3. Пошта (20 хвилин). Введіть свій домен у internet.nl і подивіться результати SPF, DKIM і DMARC (записи, що захищають домен від підробки листів). Перевірте, чи заборонене автоматичне пересилання листів на зовнішні адреси.
4. Бекапи (20 хвилин). Попросіть відновити наживо один файл і одну базу станом на вчора. Засічіть час і з'ясуйте, чи хоча б одна копія зберігається окремо від основних систем. ^[8]
5. Що видно з інтернету (20 хвилин). Складіть список: сайти, піддомени, VPN (захищений вхід до офісної мережі), віддалений робочий стіл. Біля кожного запишіть версію і дату останнього оновлення.
6. Процеси (20 хвилин). Спитайте бухгалтера, що він зробить із листом про нові реквізити постачальника. Перевірте, чи є роздрукований список контактів на випадок інциденту.

Детальніше кожен пункт розписаний у статті безпека компанії на 30 людей без CISO. Якщо компанія працює на Microsoft 365, пройдіть також шість перевірок Microsoft 365 за годину.

Коли залучати сторонніх

Самоперевірка має межу: людина, яка налаштовувала систему, рідко бачить власні помилки, а відповідь «у нас усе налаштовано» не означає, що так і є. Зовнішня допомога потрібна, якщо:

• на кілька питань із плану вище відповідь була «не знаю», і з'ясувати нема кому;
• клієнт, партнер, банк чи інвестор просить незалежну перевірку або заповнити анкету з безпеки;
• у вас є власний сайт із кабінетом клієнта, API чи платежі;
• був інцидент або підозра: дивні входи, пересилання пошти, підроблений рахунок;
• знахідки є, але ніхто не може сказати, що виправляти першим.

Для компанії на хмарних сервісах без власних серверів перший зовнішній крок зазвичай Security Assessment: перевірка акаунтів, пошти, хмари, доступів і процесів зі звітом, що змінити першим. Пентест має сенс пізніше або паралельно, коли є власний продукт. NCSC радить сприймати пентест як аудит, що перевіряє, чи працюють ваші власні процеси, а не як основний спосіб шукати проблеми. ^[9]

Якщо ризики є і в людях, і в акаунтах, і в продукті, зручніше зібрати перевірки у Veiltrack Security Program: один погоджений обсяг робіт, повторна перевірка після виправлень і одна відповідальна людина. Будь-яку активну перевірку роблять лише після погодження обсягу і письмового дозволу.

Типові помилки

• Почати з дорогого пентесту, коли в пошті немає MFA. Пентест знайде це за годину, а ви заплатите за кілька днів.
• Вважати звіт сканера перевіркою безпеки. Сканер шукає відомі вразливості, але не бачить зайвих адміністраторів і пересилання пошти.
• Перевіряти лише техніку. Найдорожчі проблеми часто починаються з листа бухгалтеру, а не зі зламаного сервера.
• Робити перевірку раз і назавжди. Люди приходять і йдуть, сервіси змінюються, тож базу варто повторювати двічі на рік.

Чекліст самоперевірки

• MFA ввімкнений усім у пошті, банк-клієнті, бухгалтерській програмі, CRM, на хостингу і в реєстратора домену.
• Адміністраторів не більше трьох, усі акаунти іменні й відомі.
• Доступи всіх, хто пішов за рік, закриті.
• internet.nl показує налаштовані SPF, DKIM і DMARC для вашого домену.
• Автоматичне пересилання пошти на зовнішні адреси заборонене.
• Ми відновили файл і базу з бекапу і знаємо, скільки це триває.
• Є список усього, що видно з інтернету, з версіями й датами оновлень.
• Бухгалтерія підтверджує нові реквізити дзвінком на відомий номер.
• Список контактів на випадок інциденту роздрукований.
• Відповіді «не знаю» записані, і вирішено, хто їх з'ясує.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Як перевірити кібербезпеку компанії, якщо немає свого спеціаліста?

Почніть із самоперевірки за безкоштовними чеклістами NCSC, ENISA чи NIST: це близько двох годин для власника і того, хто веде IT. Далі замовте незалежну оцінку там, де відповіді не знайшлося. Пентест потрібен, коли є власний продукт або цього вимагає клієнт.

Чи потрібно наймати спеціаліста з безпеки в штат?

Для невеликої компанії зазвичай ні. Важливіше, щоб кожен пункт бази мав відповідальну людину, а незалежна перевірка раз на рік давала погляд збоку. Про штатного фахівця варто думати, коли безпека стає щоденною роботою: власний продукт, багато клієнтських даних, вимоги регулятора.

Чим зовнішня оцінка безпеки відрізняється від пентесту?

Оцінка дивиться на налаштування, доступи і процеси: хто має права, як налаштована пошта, чи працюють бекапи. Пентест перевіряє, чи можна зламати ваші системи, і показує як. Для компанії на хмарних сервісах першою зазвичай йде оцінка.

Скільки часу займає зовнішня перевірка?

Залежить від обсягу: кількості людей, сервісів і систем. Строк і межі фіксують до початку роботи, разом із письмовим дозволом на активні дії.

Чи достатньо Microsoft Secure Score або безкоштовного сканера?

Як старт так, як висновок ні. Secure Score показує, які рекомендовані налаштування увімкнені, але не бачить ваших процесів, сторонніх сервісів і того, хто реально має доступ до даних.

Посилання

1. NCSC: Small organisations guide to cyber security ncsc.gov.uk
2. ENISA: Cybersecurity guide for SMEs, 12 steps to securing your business enisa.europa.eu
3. NIST SP 1300: NIST Cybersecurity Framework 2.0, Small Business Quick-Start Guide nvlpubs.nist.gov
4. CIS: CIS Controls Implementation Group 1 (IG1) cisecurity.org
5. NCSC: About Cyber Essentials ncsc.gov.uk
6. Internet.nl: Test for modern Internet Standards internet.nl
7. Microsoft Learn: Microsoft Secure Score learn.microsoft.com
8. NCSC: Small organisations guide, backing up your data ncsc.gov.uk
9. NCSC: Penetration testing ncsc.gov.uk