Безпека компанії на 30 людей без CISO: з чого почати?

Почніть з акаунтів: увімкніть усім другий фактор входу, приберіть зайві права адміністратора і закрийте доступи тих, хто вже пішов. Далі йдуть бекапи, з яких ви справді відновлювались, захист пошти, оновлення систем, видимих з інтернету, менеджер паролів, правило перевірки зміни реквізитів, огляд того, що про вас видно ззовні, і список контактів на випадок інциденту.

Для цього не потрібен CISO (окремий керівник з безпеки). Кожен пункт нижче можна перевірити приблизно за 15 хвилин, а робить його власник, бухгалтер, офіс-менеджер або IT-підрядник. Порядок важливий: перші пункти закривають типові сценарії, з яких у невеликих компаніях починаються проблеми: вкрадений пароль, підроблений лист про оплату, забутий сервер. ^[1]

Коротко

• Перші три кроки стосуються людей і доступів: другий фактор входу, права адміністратора, звільнення. Вони майже нічого не коштують.
• Бекап має сенс лише тоді, коли ви хоч раз відновили з нього файл. Перевірте це цього тижня.
• Бухгалтерії потрібне одне просте правило: зміну реквізитів підтверджуємо дзвінком на відомий номер, а не відповіддю на лист.
• Відповідальність ділиться між власником, бухгалтером, офіс-менеджером і IT-підрядником. Хто за що, показано в таблиці нижче.
• Коли базу зроблено, наступним кроком стає незалежна перевірка, а не нові інструменти.

10 кроків у порядку пріоритету

1. Акаунти й другий фактор входу (MFA)

Навіщо. Пароль можна вкрасти фішинговим листом або знайти в старому витоку. MFA (вхід із додатковим кодом чи підтвердженням у телефоні) означає, що одного пароля зловмисникам уже недостатньо. ^{[2] [3]}

Як перевірити за 15 хвилин. В адмін-центрі Microsoft 365 або Google Workspace відкрийте список користувачів і подивіться, у кого MFA не ввімкнено. Потім пройдіться по сервісах поза поштою: банк-клієнт, бухгалтерська програма, CRM, хостинг сайту, реєстратор домену, сторінки компанії в соцмережах.

Хто робить. IT-підрядник вмикає, власник стежить, щоб не було винятків, починаючи з себе.

2. Хто має права адміністратора

Навіщо. Адміністратор може все: читати чужу пошту, створювати користувачів, вимикати захист. Якщо зловмисники заволодіють таким акаунтом, шкода буде найбільшою. Що менше адміністраторів, то менше таких дверей.

Як перевірити за 15 хвилин. Відкрийте список ролей в адмін-центрі. Компанії на 30 людей зазвичай вистачає двох або трьох адміністраторів. Адміністративний акаунт має бути окремим від щоденного, з якого читають пошту, і обов'язково з MFA. Перевірте й ноутбуки: чи не працюють люди з правами адміністратора на своїх комп'ютерах.

Хто робить. IT-підрядник показує список, власник вирішує, хто лишається.

3. Закриття доступів, коли людина йде

Навіщо. Робочий доступ колишнього співробітника лишається ризиком, навіть якщо він порядна людина. Його пароль можуть украсти вже після звільнення, і ніхто не помітить, бо за цим акаунтом ніхто не стежить.

Як перевірити за 15 хвилин. Візьміть список тих, хто пішов за останній рік, і перевірте кожного в пошті, CRM, банк-клієнті, хмарних дисках, робочих чатах і соцмережах компанії. Складіть короткий перелік «що закрити в день звільнення» і віддайте його тому, хто оформлює звільнення.

Хто робить. Кадровик або офіс-менеджер запускає процес, IT-підрядник закриває доступи того самого дня.

4. Бекапи, з яких ви справді відновлювались

Навіщо. Резервна копія (бекап) рятує після вірусу, що шифрує файли, помилки співробітника чи збою диска. Але часто з'ясовується, що копія неповна, застаріла або лежить там, де її теж зашифрували.

Як перевірити за 15 хвилин. Попросіть відновити один довільний файл і одну базу, наприклад бухгалтерську, станом на вчора. Засічіть час. Переконайтеся, що хоча б одна копія зберігається окремо: не на тому самому сервері й не з тими самими паролями. ^[4]

Хто робить. IT-підрядник налаштовує, власник раз на квартал просить показати відновлення наживо.

5. Захист пошти

Навіщо. Саме через пошту приходять фішингові листи (ті, що видають себе за когось іншого) і підроблені рахунки. ^[5] Записи SPF, DKIM і DMARC (налаштування домену, що кажуть поштовим серверам, хто може писати від вашого імені) ускладнюють підробку вашої адреси.

Як перевірити за 15 хвилин. Попросіть IT-підрядника показати, чи налаштовані SPF, DKIM і DMARC для вашого домену і чи ввімкнено перевірку вкладень і посилань. Окремо з'ясуйте, чи заборонено автоматичне пересилання листів на зовнішні адреси: так зловмисники найчастіше тихо читають чужу пошту. ^[6]

Хто робить. IT-підрядник налаштовує. Людей вчать помічати підозрілі листи, а фішинг-симуляція показує, чи це працює на практиці.

6. Оновлення систем, доступних з інтернету

Навіщо. Сайт, VPN (захищений віддалений вхід до офісної мережі), поштовий сервер, віддалений робочий стіл: усе, що видно з інтернету, зловмисники перебирають автоматично. Відома вразливість у старій версії часто стає входом без жодного пароля.

Як перевірити за 15 хвилин. Попросіть список: що в компанії доступно з інтернету, яка там версія і коли її востаннє оновлювали. Якщо на будь-яке з цих питань відповідь «не знаю», це вже знахідка. ^[7]

Хто робить. IT-підрядник або розробник сайту. Власник фіксує правило: критичні оновлення для таких систем ставимо за кілька днів, а не «колись».

7. Менеджер паролів

Навіщо. Без нього люди повторюють один пароль скрізь або тримають паролі в таблиці. Менеджер паролів (програма, що зберігає й генерує паролі) дає кожному сервісу довгий унікальний пароль і дозволяє безпечно ділитися спільними доступами. ^[8]

Як перевірити за 15 хвилин. Спитайте трьох співробітників, де вони тримають паролі від робочих сервісів. Пошукайте на спільному диску файли на кшталт «паролі.xlsx».

Хто робить. Власник обирає бізнес-версію менеджера, IT-підрядник розгортає, кожен переносить свої паролі сам.

8. Правило перевірки зміни реквізитів

Навіщо. Типова схема: бухгалтер отримує лист від «постачальника» або «директора» з новими реквізитами чи терміновим платежем. Лист може прийти навіть зі справжньої, але зламаної скриньки. Техніка тут не допоможе, допоможе правило.

Як перевірити за 15 хвилин. Спитайте бухгалтера, що він зробить, якщо постачальник листом повідомить про новий рахунок. Правильна відповідь: зателефонує на номер, який уже є в договорі чи картці контрагента, а не на номер із листа. Запишіть це правило й ознайомте з ним усіх, хто проводить платежі.

Хто робить. Власник затверджує, головний бухгалтер виконує і не робить винятків навіть для «термінового від директора».

9. Що про вас видно з інтернету

Навіщо. Компанії часто не знають усіх своїх адрес: старий тестовий сайт, забута панель керування, сервіс підрядника на вашому домені. Те, про що ви не знаєте, ніхто не оновлює.

Як перевірити за 15 хвилин. Зберіть список доменів і піддоменів у реєстратора й у налаштуваннях DNS (адресної книги вашого домену), спитайте розробників і підрядників, що вони запускали. Порівняйте з тим, що, на вашу думку, у вас є. Повніший погляд ззовні дає External Security Review.

Хто робить. IT-підрядник збирає список, власник вирішує, що вимкнути.

10. Список контактів на випадок інциденту

Навіщо. Коли щось сталося, найбільше часу йде на пошуки: у кого доступ до адмінки, який номер банку, хто вирішує вимкнути систему. Одна сторінка з контактами заощаджує цей час. ^[9]

Як перевірити за 15 хвилин. Чи є на папері, а не лише в пошті, яку теж можуть зламати, такий список: IT-підрядник, банк, хостинг, реєстратор домену, юрист, CERT-UA і кіберполіція? Хто ухвалює рішення, якщо власник недоступний?

Хто робить. Офіс-менеджер складає, власник раз на пів року перевіряє, що номери актуальні. Що робити, коли інцидент уже стався, описую в статті зламали пошту компанії: перші 30 хвилин.

Хто відповідає і як часто

Що робити, коли базу зроблено

Ці десять пунктів не роблять компанію невразливою, але прибирають найпростіші шляхи, якими зазвичай користуються зловмисники. Далі має сенс незалежний погляд: Security Assessment перевіряє акаунти, пошту, хмару й права доступу і показує, що з цього списку працює насправді, а що лише на папері.

Якщо ризики є в кількох місцях одразу, зручніше зібрати перевірки у Veiltrack Security Program: один погоджений обсяг робіт, один звіт і одна відповідальна людина. Пентест для компанії такого розміру зазвичай не перший крок. Він потрібен, коли є власний продукт: сайт із кабінетом клієнта, API, платежі.

Типові помилки

• Купити інструмент замість правила. Нова програма не допоможе, якщо бухгалтер досі платить за реквізитами з листа.
• Винятки для керівників. Директор без MFA, бо «незручно», має найцінніший акаунт у компанії.
• Бекап, який ніхто не відновлював. Про те, що він не працює, дізнаються в найгірший момент.
• Усе тримається на одній людині. Доступи до пошти, домену й хостингу мають належати компанії, а не лише підряднику. Перевірте, чи зможете ви увійти туди без нього.

Чекліст на тиждень

• MFA ввімкнено всім у пошті, банк-клієнті, бухгалтерській програмі, CRM і на хостингу.
• Адміністраторів не більше трьох, у кожного окремий адміністративний акаунт.
• Ніхто з тих, хто пішов за останній рік, не має робочого доступу.
• Ми відновили файл і базу з бекапу і знаємо, скільки це триває.
• SPF, DKIM і DMARC налаштовані, автоматичне пересилання листів назовні заборонене.
• Є список систем, доступних з інтернету, з версіями й датами оновлень.
• Компанія користується менеджером паролів, файлів із паролями на дисках немає.
• Бухгалтерія підтверджує зміну реквізитів дзвінком на відомий номер.
• Ми знаємо всі свої домени й піддомени і вимкнули зайве.
• Список контактів на випадок інциденту роздрукований і актуальний.

Завантажити чекліст підготовки (PDF)PDF · A4

FAQ

Чи потрібен компанії на 30 людей окремий фахівець з безпеки?

Зазвичай ні. На цьому етапі важливіше, щоб кожен пункт мав свою відповідальну людину і хтось регулярно перевіряв, що все працює. Незалежна перевірка раз на рік дає погляд збоку.

Скільки часу забере цей список?

Перевірка кожного пункту займає близько 15 хвилин, тобто кілька годин на весь список. Виправлення залежать від того, що знайдете: MFA і правило для бухгалтерії реально запровадити за тиждень, лад із бекапами й доступами зазвичай потребує кількох тижнів.

З чого почати, якщо часу зовсім немає?

З MFA на пошті й банк-клієнті та правила перевірки реквізитів. Це найменше зусиль і найбільше користі для невеликої компанії.

Чи вистачить антивірусу?

Ні. Антивірус захищає комп'ютер, але не допоможе, якщо пароль від пошти вкрали або бухгалтер оплатив підроблений рахунок.

Коли компанії такого розміру потрібен пентест?

Пентест потрібен, коли у вас є власний сайт із кабінетом клієнта, API чи платежі, або коли партнер просить незалежну перевірку. Різницю між видами перевірок пояснюю в статті пентест чи сканування вразливостей.

Посилання

1. NCSC: Small organisations guide to cyber security ncsc.gov.uk
2. Microsoft: Set up multifactor authentication for users learn.microsoft.com
3. Google Workspace: Protect your business with 2-Step Verification support.google.com
4. NCSC: Small organisations guide, backing up your data ncsc.gov.uk
5. NCSC: Small organisations guide, avoiding phishing attacks ncsc.gov.uk
6. Microsoft: Control external email forwarding learn.microsoft.com
7. NCSC: Keeping devices and software up to date ncsc.gov.uk
8. NCSC: Managing your passwords ncsc.gov.uk
9. NCSC: Incident management ncsc.gov.uk