Информационная безопасность малого бизнеса: минимум, который работает

Информационная безопасность малого бизнеса держится на небольшом наборе дисциплинарных мер: уникальные пароли с двухфакторной защитой, регулярные обновления, разделение прав доступа, внимательность к почте и понятный порядок действий при инциденте. Дорогие системы защиты нужны потом, а на первом этапе эти базовые вещи закрывают значительную часть реальных рисков. Я расскажу, какие меры включаю в такой минимум и в каком порядке их стоит вводить.

Почему малый бизнес оказывается под ударом

Распространённое убеждение: «мы маленькие, кому мы нужны». Но большинство атак не выбирают жертву по имени. Автоматические сканеры ищут открытые сервисы и слабые пароли по всему интернету, рассылки с вредоносными вложениями отправляются массово, а мошенники подделывают письма от имени поставщиков в надежде, что бухгалтер не заметит подмены реквизитов.

У небольшой компании при этом обычно нет выделенного специалиста по безопасности, а ИТ-администрирование совмещено с другими обязанностями. Это значит, что процессы нужно делать простыми и повторяемыми, чтобы они выполнялись без героизма.

С чего начать: инвентаризация и приоритеты

Защищать вслепую нельзя. Сначала выясните, что для бизнеса ценно:

• клиентская база и персональные данные;
• финансовые документы и банковские доступы;
• учётная система (например, 1С) и её базы;
• почта, через которую идёт вся переписка и восстановление паролей к другим сервисам;
• сайт и сервисы, приносящие заявки или оплату.

Для каждой позиции ответьте: кто имеет доступ, где это хранится, что будет при потере. Это основа для приоритетов. Если вы хотите структурированный обзор, воспользуйтесь чек-листом аудита ИТ-инфраструктуры.

Пароли, двухфакторная аутентификация и учётные записи

Это самая эффективная по соотношению усилий и результата группа мер.

1. Каждому сотруднику персональная учётная запись в каждой системе. Общие логины убираем.
2. Пароли уникальные и длинные. Запомнить их невозможно, поэтому нужен менеджер паролей.
3. Двухфакторная аутентификация включается в первую очередь для почты, облачных панелей, хостинга, регистратора домена и банковских сервисов. Предпочтительнее приложение-аутентификатор или аппаратный ключ, чем коды по SMS.
4. При увольнении доступы отзываются в тот же день по чек-листу.
5. Права администратора выдаются только тем, кому они нужны для работы, и не используются для повседневных задач.

Подробнее о формулировке правил для сотрудников: пароли и двухфакторная аутентификация в компании.

Обновления, антивирус и защита рабочих станций

Многие успешные атаки используют давно известные уязвимости, для которых уже вышли исправления. Поэтому:

• включите автоматическое обновление операционных систем и браузеров на рабочих местах;
• следите за обновлениями прошивок маршрутизатора и другого сетевого оборудования;
• используйте встроенную защиту операционной системы или проверенный антивирус, главное, чтобы он был включён и обновлялся;
• шифруйте диски ноутбуков, чтобы потеря устройства не означала утечку данных;
• запретите установку программ без согласования, особенно «кряков» и сомнительных расширений браузера;
• сотрудникам с правами обычного пользователя не нужны права администратора на своём компьютере.

Сервер и сайт требуют отдельного внимания: устаревший движок сайта или плагин одна из самых частых причин взлома. Обновляйте не по настроению, а по расписанию.

Почта и защита от фишинга

Деловая почта главный вектор атак. Две группы мер, техническая и человеческая.

Техническая: настройте на домене записи SPF, DKIM и DMARC, чтобы затруднить подделку писем от вашего имени и повысить доставляемость. Как это сделать, описано в статье про домен, SSL и почту. Включите фильтрацию спама и блокировку опасных вложений.

Человеческая: сотрудники должны знать типичные признаки подделки.

• Срочность и давление («оплатите сегодня, иначе...»).
• Просьба изменить реквизиты оплаты по письму, без проверки по другому каналу.
• Адрес отправителя, который похож на настоящий, но отличается одним символом.
• Ссылки, которые ведут на страницу ввода пароля.
• Неожиданные вложения, особенно архивы и документы с макросами.

Правило, которое я советую ввести: любое изменение банковских реквизитов и любые нестандартные платёжные просьбы подтверждаются звонком по ранее известному номеру.

Данные, резервные копии и разделение доступа

Принцип наименьших привилегий: сотрудник видит только то, что нужно для его работы. В учётной системе это роли, в файловом хранилище права на папки, в облачных сервисах группы доступа.

Для критичных данных пригодится план на случай потери: кто отвечает за восстановление, где хранится копия отдельно от основной системы, как часто проверяется возможность восстановления. Конкретную организацию копирования лучше обсудить с администратором или поставщиком хранилища, а проверку делать регулярно, потому что неработающая копия обнаруживается обычно в самый неподходящий момент.

Персональные данные клиентов требуют отдельной осторожности: не храните их в личных мессенджерах и почте без необходимости, ограничьте выгрузки из базы, документируйте, кто и зачем получил доступ. Требования законодательства о защите персональных данных уточняйте у юриста.

Что делать при инциденте

План не должен быть толстым, но он должен существовать. Минимум:

1. Кто принимает решение и кому звонить в первую очередь.
2. Как изолировать скомпрометированное устройство или учётную запись: отключить от сети, сменить пароли, завершить сеансы.
3. Как сохранить следы: не перезагружать и не стирать до выяснения, что произошло.
4. Кого уведомлять: сотрудников, клиентов, банк, регистратора домена, хостинг.
5. Как восстанавливать работу и кто проверяет, что закрыта причина, а не только симптом.

Распечатайте контакты, они нужны, когда почта недоступна. После инцидента проведите разбор без поиска виноватых: какие меры сработали, какие нет, что меняем.

Хорошо, если о проблемах вы узнаёте до клиентов: в статье про мониторинг сервисов разобраны уведомления о сбоях.

Сайт, платёжные формы и внешние сервисы

Если у компании есть сайт, он тоже часть периметра. Проверьте несколько вещей. Движок и плагины обновляются по расписанию. Административная панель защищена сильным паролем и двухфакторной проверкой, а лучше доступна только с определённых адресов. Сайт работает по HTTPS, а в настройках сервера включены защитные заголовки. Формы проверяют данные на стороне сервера, а не только в браузере. Файлы загрузки не могут исполняться как программы.

Для платёжных форм действует отдельное правило: данные банковских карт не должны проходить через ваш сервер и храниться в вашей базе, если вы не готовы соблюдать строгие требования отрасли. Обычно оплата проводится на стороне платёжного провайдера, а ваш сайт получает только результат. Точные требования уточняйте у провайдера.

Каждый внешний сервис, которому вы даёте доступ к данным, будь то рассылки, CRM или аналитика, расширяет поверхность риска. Ведите список таких сервисов и периодически спрашивайте себя, нужны ли они ещё.

Обучение сотрудников без скуки

Обучение работает, когда оно короткое и повторяется. Раз в квартал проведите пятнадцатиминутную встречу с одним реальным примером фишингового письма, которое получили в компании. Покажите, какие признаки выдавали подделку. Раз в год устройте безобидную проверку: разошлите тестовое письмо и посмотрите, кто нажал на ссылку, а затем разберите результат без наказаний.

Сотрудникам нужен также простой способ сообщить о подозрении: отдельный адрес или чат, где на сообщение отвечают быстро и благодарят, а не ругают. Чем раньше человек признался, что открыл подозрительное вложение, тем меньше ущерб.

Частые вопросы

С каких мер начинать при ограниченном бюджете?

С бесплатных или недорогих: двухфакторная аутентификация, менеджер паролей, автообновления, удаление лишних учётных записей, настройка SPF/DKIM/DMARC и обучение сотрудников распознавать фишинг. Они закрывают большую долю типовых рисков.

Нужен ли малому бизнесу отдельный специалист по безопасности?

Обычно нет. Достаточно назначить ответственного за ИТ (внутреннего или внешнего) и распределить обязанности. По мере роста и усложнения систем потребность может появиться, но начинать с процессов выгоднее, чем с найма.

Достаточно ли антивируса, чтобы быть защищённым?

Нет. Антивирус ловит часть вредоносных программ, но не защитит от слабых паролей, подделанных писем, открытых сервисов и ошибок настройки. Он один из слоёв защиты, а не вся защита.

Как убедить сотрудников соблюдать правила?

Сделайте правила простыми и удобными: менеджер паролей скорее экономит время, чем отнимает его. Объясняйте причины на реальных примерах и показывайте, что нарушение не карается, если сотрудник сам сообщил о проблеме. Страх скрыть ошибку вреднее самой ошибки.

Если хотите привести защиту в порядок, но не знаете, с чего начать, на странице про ИТ-инфраструктуру и проекты описано, чем я могу помочь, либо напишите в Telegram.