Де знайти безкоштовний чекліст з кібербезпеки для компанії українською?

Безкоштовний чекліст кібербезпеки для компанії українською є просто на цій сторінці: 15 пунктів у семи групах (акаунти, пошта, пристрої, резервні копії, сайт, люди, інциденти), кожен з одним рядком про те, як його перевірити, і PDF для друку без реєстрації. Для окремих тем нижче є посилання на детальні чеклісти й робочі аркуші, а також на безкоштовні посібники NCSC, ENISA і NIST, які лягли в основу цього списку.

Чекліст кібербезпеки означає короткий список перевірок, де на кожен пункт можна чесно відповісти «так» або «ні» і показати, чим це підтверджено. Список розрахований на невелику компанію без окремого фахівця з безпеки: пройти його можуть власник, офіс-менеджер і IT-підрядник за одну зустріч.

Коротко

• Найбільше користі дають перші пункти: другий фактор входу, мало адміністраторів, закриті доступи тих, хто пішов.
• Кожен пункт має спосіб перевірки. Відповідь «здається, так» не рахується.
• Бекап має сенс, лише якщо з нього вже відновлювались.
• Повторюйте список раз на квартал і після великих змін: новий сервіс, переїзд пошти, новий підрядник.
• Коли всі пункти закрито, наступним кроком стає незалежна перевірка того, що працює насправді.

Чекліст на 15 пунктів

Позначайте пункт лише тоді, коли перевірили його так, як написано після двокрапки.

• Акаунти. Другий фактор входу (MFA, код або підтвердження в телефоні) мають усі в пошті, банк-клієнті, CRM і на хостингу: в адмін-центрі пошти немає користувачів без MFA.
• Акаунти. Адміністраторів два або три, у кожного окремий адмінський акаунт: перегляньте список ролей в адмін-центрі.
• Акаунти. Ніхто з тих, хто пішов, не має робочого доступу: звірте список звільнених за рік з активними акаунтами в пошті, CRM і хмарних дисках.
• Пошта. SPF, DKIM і DMARC (записи домену, що захищають від підробки вашої адреси) налаштовані: попросіть IT показати ці три записи для домену.
• Пошта. Автоматичне пересилання листів на зовнішні адреси заборонене: перевірте політику пересилання в адмін-центрі пошти.
• Пристрої. Оновлення на ноутбуках і телефонах ставляться автоматично: відкрийте налаштування оновлень на трьох випадкових ноутбуках.
• Пристрої. Диски ноутбуків зашифровані, екран блокується сам: перевірте, що BitLocker або FileVault увімкнено.
• Резервні копії. Важливі дані копіюються автоматично, і одна копія лежить окремо з іншими паролями: спитайте, де саме лежить копія і хто має до неї доступ.
• Резервні копії. Відновлення перевірене: відновіть один файл і одну базу станом на вчора і засічіть час.
• Сайт. Система керування сайтом, плагіни й сервер оновлені: подивіться версії й дату останнього оновлення в панелі сайту.
• Сайт. Доступи до домену, хостингу й адмінки сайту належать компанії і захищені MFA: спробуйте увійти туди без підрядника.
• Люди. Паролі зберігаються в менеджері паролів, а не в таблицях: пошукайте файли зі словом «паролі» на спільному диску.
• Люди. Зміну реквізитів підтверджують дзвінком на відомий номер: спитайте бухгалтера, що він зробить з листом про новий рахунок постачальника.
• Інциденти. Є роздрукований список контактів (IT, банк, хостинг, реєстратор домену, CERT-UA, кіберполіція): знайдіть цей аркуш і перевірте два номери.
• Інциденти. Відомо, хто вирішує і що робити першим, якщо зламали пошту: проговоріть цей сценарій на нараді за 15 хвилин.

Завантажити чекліст підготовки (PDF)PDF · A4

Пункти спираються на посібник NCSC для невеликих організацій, 12 кроків ENISA для малого й середнього бізнесу та матеріали NIST для малого бізнесу. ^{[1] [2] [3]} Пересилання пошти і оновлення пристроїв описані в окремих настановах Microsoft і NCSC. ^{[4] [5]}

Детальні чеклісти за темами

Якщо пункт викликав сумнів, відкрийте детальний матеріал саме про нього.

Як користуватися чеклістом

Призначте одну людину, яка збирає відповіді, і одну зустріч на годину. Біля кожного пункту запишіть, хто за нього відповідає, і дату наступної перевірки. Пункти з відповіддю «не знаю» вважайте відкритими: це вже корисний результат.

Якщо щось сталося просто зараз, не проходьте список, а відкрийте інструкцію про перші 30 хвилин і повідомте CERT-UA (урядову команду реагування на кіберінциденти). ^{[6] [7]}

Що робити, коли все позначено

Чекліст показує, що налаштовано на папері. Чи працює це насправді, показує незалежний погляд: Security Assessment перевіряє акаунти, пошту, хмарні сервіси й права доступу і пояснює, що виправити першим. Якщо у вас є власний сайт із кабінетом клієнта чи API, наступний крок пентест.

FAQ

Де знайти безкоштовний чекліст з кібербезпеки для компанії українською?

На цій сторінці: 15 пунктів із способом перевірки кожного і PDF для друку без реєстрації. Детальні чеклісти за темами зібрано в таблиці вище, а робочі аркуші на сторінці матеріалів.

Скільки часу забере перевірка за чеклістом?

Зазвичай одну зустріч приблизно на годину, якщо поруч є людина з доступом до адмін-центру пошти. Виправлення займають більше: MFA і правило для бухгалтерії реально запровадити за тиждень, лад із бекапами й доступами потребує кількох тижнів.

Чи можна пройти чекліст без IT-фахівця?

Частково. Пункти про людей та інциденти власник перевірить сам. Для акаунтів, пошти й бекапів потрібен той, хто має доступ до адмін-центру, найчастіше IT-підрядник.

Як часто повторювати перевірку?

Раз на квартал і після великих змін: новий сервіс, переїзд пошти, зміна IT-підрядника, звільнення людини з широкими доступами.

Чи достатньо чекліста, щоб бути в безпеці?

Ні. Він прибирає найпростіші шляхи, якими зазвичай користуються зловмисники, але не показує прихованих проблем. Для цього потрібна незалежна перевірка, наприклад Security Assessment.

Посилання

1. NCSC: Small organisations guide to cyber security ncsc.gov.uk
2. ENISA: Cybersecurity guide for SMEs, 12 steps to securing your business enisa.europa.eu
3. NIST: Small Business Cybersecurity Corner nist.gov
4. Microsoft: Control external email forwarding learn.microsoft.com
5. NCSC: Keeping devices and software up to date ncsc.gov.uk
6. NCSC: Incident management ncsc.gov.uk
7. CERT-UA: Computer Emergency Response Team of Ukraine cert.gov.ua