Cyberbezpieczeństwo dla małej firmy: od czego zacząć

Małe firmy często zakładają, że są zbyt małe, by zainteresować oszustów. Ale większość ataków nie wybiera ofiar według wielkości: ta sama fałszywa faktura czy strona wyłudzająca hasła trafia naraz do tysięcy firm. W małej firmie po prostu rzadziej jest ktoś, kto to zatrzyma.

Poniżej osiem kroków po kolei, zaczynając od tych, które kosztują najmniej i chronią przed najczęstszymi zagrożeniami.

1. Włącz uwierzytelnianie dwuskładnikowe

Zacznij od poczty (Microsoft 365 lub Google Workspace), banku, programu księgowego i konta, przez które zarządzasz domeną. Nawet jeśli hasło zostanie skradzione, nikt się nim nie zaloguje bez drugiego składnika. To nic nie kosztuje i zajmuje kilka minut na konto. Więcej: Uwierzytelnianie dwuskładnikowe (2FA).

2. Ustal zasady dotyczące haseł

Osobne hasło do każdego konta, a nie jedno do wszystkich. Najprościej użyć menedżera haseł: pozwala też bezpiecznie współdzielić konta zespołowe zamiast wysyłać hasła na czacie lub trzymać je w arkuszu. Więcej: Jak stworzyć silne hasło.

3. Aktualizuj urządzenia i oprogramowanie

Włącz automatyczne aktualizacje systemu operacyjnego, przeglądarki i aplikacji na każdym służbowym komputerze i telefonie. Wiele ataków wykorzystuje luki, które już załatano, na urządzeniach, których nikt nie zaktualizował.

4. Rób kopie zapasowe i je testuj

Najważniejsze pliki i konta potrzebują kopii, której komputer zainfekowany ransomware nie zmieni ani nie usunie. Raz na kwartał spróbuj odtworzyć przynajmniej jeden plik: kopia, z której nikt nie odtwarzał danych, może nie działać. Więcej: Ransomware: jak chronić firmę.

5. Wprowadź zasadę sprawdzania płatności

W małych firmach najdroższe incydenty to często nie wirusy, tylko fałszywe faktury i prośby „prezesa” o pilny przelew. Jedna zasada zatrzymuje większość z nich: zmianę rachunku bankowego dostawcy i nietypowe płatności zawsze potwierdzaj, dzwoniąc pod numer, który już znasz, a nie pod numer z e-maila. Więcej: Oszustwo „na prezesa” i fałszywe faktury.

6. Chroń domenę pocztową firmy

Rekordy SPF, DKIM i DMARC w Twojej domenie pomagają systemom pocztowym rozpoznawać e-maile, które oszuści wysyłają w imieniu Twojej firmy. Konfiguruje się je raz, zwykle robi to dostawca IT lub osoba zarządzająca domeną. Stan swojej domeny zweryfikujesz w darmowym narzędziu do sprawdzania SPF, DKIM i DMARC, a jak działają te rekordy, wyjaśnia artykuł Spoofing e-mail: jak oszuści podszywają się pod Twoją domenę.

7. Naucz pracowników rozpoznawać phishing

Środki techniczne nie zatrzymują wszystkiego. E-mail, który przejdzie przez filtry, zatrzyma dopiero pracownik, który go rozpozna. Najskuteczniej działa połączenie krótkich szkoleń z bezpiecznymi symulacjami phishingu: pracownicy dostają realistyczny e-mail, a jeśli klikną, od razu dowiadują się, co powinni byli zauważyć.

Jak to zorganizować, opisuje artykuł Jak szkolić pracowników z rozpoznawania oszustw, a sytuacje, na które przygotowuje Opsinel, znajdziesz na stronie szkolenia z bezpieczeństwa dla pracowników. Jak sprawdzić, czy zespół rozpoznaje phishing, wyjaśnia Test phishingowy dla pracowników.

8. Ustal, co robić, gdy coś się stanie

Przygotuj jednostronicową instrukcję: komu pracownik zgłasza kliknięcie w podejrzany link, kto zmienia hasła, do kogo dzwonić w banku i w sprawach IT. Najważniejsze, by ludzie nie bali się zgłaszać: im szybciej błąd wyjdzie na jaw, tym mniejsze szkody. Więcej: Co zrobić, gdy pracownik kliknął w link phishingowy.

Ile to kosztuje

Uwierzytelnianie dwuskładnikowe, aktualizacje, zasada płatności i plan reagowania kosztują tylko czas. Płatne są zwykle menedżer haseł, miejsce na kopie zapasowe i szkolenia pracowników. Na przykład symulacje phishingu i szkolenia Opsinel kosztują 30 € miesięcznie za 10 pracowników (cena bez VAT). Cenę dla swojego zespołu obliczysz w kalkulatorze cen.

Jeśli w tym tygodniu zrobisz tylko jedno, włącz uwierzytelnianie dwuskładnikowe w poczcie. Przez pocztę resetuje się hasła do innych kont, a z przejętej skrzynki oszuści wysyłają w Twoim imieniu fałszywe faktury do Twoich klientów.