Кибербезопасность малого бизнеса держится на простых привычках: двухфакторная защита аккаунтов, резервные копии, обновления, аккуратная работа с почтой и платежами. Большинство из этих мер бесплатны или почти бесплатны, но требуют дисциплины. Небольшая компания редко становится целью сложной атаки — чаще она страдает от массового фишинга, подмены реквизитов и потерянных паролей. Ниже десять мер, с которых стоит начать.
Почему небольшим компаниям не стоит откладывать
В малом бизнесе обычно нет отдельного специалиста по безопасности, а у одного человека бывает доступ ко всему: к банку, почте, сайту, базе клиентов. Если этот аккаунт захватят, пострадает весь бизнес сразу. При этом восстанавливаться маленькой компании тяжелее: нет резервной команды и запаса денег на долгий простой.
Хорошая новость — базовые меры работают одинаково хорошо и в корпорации, и в кофейне.
10 мер кибербезопасности малого бизнеса
Двухфакторная аутентификация везде, где можно. Почта, банк-клиент, облако, соцсети, маркетплейсы. Это самый дешёвый способ сильно усложнить захват аккаунта.
Менеджер паролей. Уникальный пароль для каждого сервиса и никаких таблиц с паролями в общей папке.
Отдельные учётные записи. У каждого сотрудника свой вход, без общего логина «office». Так проще отозвать доступ и понять, кто что делал.
Минимум прав администратора. Обычная работа — под обычной учётной записью. Права администратора — только тем, кому они нужны, и только для настройки.
Автоматические обновления. Операционные системы, браузеры, роутер, плагины сайта. Включите автообновление там, где оно есть.
Резервные копии по правилу 3-2-1. Три копии данных, на двух разных носителях, одна — вне офиса или в облаке, отделённом от основной системы. Раз в квартал проверяйте восстановление.
Правило проверки платежей. Любое изменение реквизитов поставщика подтверждается звонком по известному номеру, а не по номеру из письма. Это защищает от одной из самых частых схем мошенничества.
Гостевой Wi-Fi. Клиенты и личные телефоны — в отдельной сети, рабочие компьютеры и кассы — в своей. Пароль от роутера по умолчанию — сменить.
Отзыв доступа при увольнении. Короткий чек-лист: почта, CRM, облако, банк, соцсети, пароль от Wi-Fi. Делается в день ухода сотрудника.
Короткий план на случай инцидента. Одна страница: кому звонить, как заблокировать карту и доступ к банку, где лежат резервные копии, как предупредить клиентов.
Что стоит каждая мера
Мера | Затраты | Время на внедрение |
|---|---|---|
Двухфакторная аутентификация | Бесплатно | Час-два |
Менеджер паролей | Бесплатно или недорогая подписка | День |
Отдельные учётные записи | Зависит от тарифов сервисов | День |
Обновления | Бесплатно | Час на настройку |
Резервные копии | Внешний диск или облако | Полдня |
Правило проверки платежей | Бесплатно | Одно совещание |
Гостевой Wi-Fi | Обычно есть в роутере | Час |
Чек-лист увольнения и план инцидента | Бесплатно | Пара часов |
Как видно, основной ресурс здесь — не деньги, а внимание владельца.
Люди важнее программ
Даже идеально настроенная система не спасёт, если бухгалтер оплатит поддельный счёт или менеджер введёт пароль на фальшивой странице. Поэтому раз в несколько месяцев стоит разбирать с командой реальные примеры: письмо «от директора» с просьбой срочно перевести деньги, звонок «из банка», ссылку на «документы» в мессенджере.
Не нужно запугивать сотрудников — важно, чтобы они знали простое правило: если что-то кажется странным, остановиться и проверить по другому каналу. И не бояться сообщить о своей ошибке. Чем быстрее о проблеме узнают, тем меньше ущерб.
Для такой тренировки удобны интерактивные сценарии. На CYBY есть симулятор инцидента THE BREACH, первый эпизод которого бесплатный, — по нему можно пройти ситуацию изнутри, без риска для реальных систем.
Когда звать специалиста
Стоит привлечь внешнего специалиста, если вы храните много персональных данных клиентов, принимаете онлайн-платежи на своём сайте, работаете с крупными заказчиками, которые предъявляют требования к безопасности, или уже столкнулись с инцидентом. Разовая консультация и аудит помогут понять, где реальные слабые места.
Частые вопросы
Нужен ли антивирус, если есть встроенная защита системы? Для многих небольших компаний встроенных средств современных операционных систем достаточно при условии, что они включены и обновляются. Важнее не забыть про обновления и резервные копии.
Можно ли хранить пароли в браузере? Это лучше, чем один пароль на всё, но менеджер паролей даёт больше контроля, особенно когда доступами нужно делиться с коллегами.
Что делать, если пришло письмо со сменой реквизитов? Не отвечать на это письмо и не звонить по указанным в нём номерам. Связаться с контрагентом по контактам из договора или прошлой переписки.
Как часто проверять резервные копии? Хотя бы раз в квартал пробуйте восстановить несколько файлов или систему целиком. Так вы узнаете о проблеме заранее.
Обучите команду без лишних затрат
Разберитесь в основах сами или предложите сотрудникам практику на cyby.ai — тариф Demo бесплатный, а для компаний есть обучение команд CYBY Teams.