אבטחת מידע לעסק קטן: צעדים בסיסיים שכל בעל עסק חייב להכיר
עסקים קטנים הם מטרה נוחה לפורצים. כך תגנו על החשבונות, על נתוני הלקוחות ועל המחשבים בצעדים פשוטים וזולים.
בעלי עסקים קטנים נוטים לחשוב שמתקפות סייבר הן עניין של בנקים, חברות ענק וגופים ממשלתיים. מי כבר ירצה לפרוץ למחשב של רואה חשבון שכונתי או לחשבון הדיוור של חנות פרחים? המציאות שונה. דווקא עסקים קטנים, שאין להם מחלקת מחשוב ואבטחה, הם לעיתים קרובות מטרה נוחה לפורצים. פריצה לתיבת מייל, הצפנת קבצים לשם כופר או השתלטות על עמוד עסקי ברשת יכולות לשתק עסק לימים ארוכים ולפגוע באמון הלקוחות. החדשות הטובות הן שרוב ההגנה מבוססת על הרגלים פשוטים.
למה עסקים קטנים בסיכון
רוב המתקפות אינן ממוקדות בעסק מסוים. הן נשלחות בהמוניהן לכתובות רבות, ומחפשות את מי שלא נקט אמצעי הגנה בסיסיים. מייל התחזות אחד שנפתח, סיסמה חלשה אחת או מחשב שלא עודכן מספיקים כדי לפתוח את הדלת.
לעסקים קטנים יש גם נכסים מעניינים: פרטי לקוחות, חשבונות בנק, גישה למערכות של ספקים ולקוחות גדולים יותר, ועמודים ברשתות החברתיות עם קהל עוקבים. בנוסף, עסק קטן מתקשה לעיתים קרובות להתאושש ממתקפה, משום שאין לו גיבויים מסודרים או מומחה זמין שיטפל באירוע.
סיסמאות ואימות דו שלבי
הצעד החשוב ביותר הוא שמירה על חשבונות. סיסמה חזקה היא ארוכה, ייחודית לכל שירות ואינה מבוססת על פרטים אישיים כמו שם הילד או תאריך לידה. שימוש באותה סיסמה בכמה מקומות הוא אחד הסיכונים הגדולים, משום שדליפה מאתר אחד חושפת את כל השאר.
מנהל סיסמאות הוא כלי שפותר את הבעיה: הוא יוצר ושומר סיסמאות חזקות, וכל מה שצריך לזכור הוא סיסמת אב אחת. לצד זה, כדאי להפעיל אימות דו שלבי בכל מקום שבו הדבר אפשרי, במיוחד במייל, בבנק, במערכות הנהלת החשבונות וברשתות החברתיות. גם אם הסיסמה תדלוף, הפורץ יתקשה להיכנס בלי הגורם השני.
להיזהר ממיילים והודעות מתחזים
רוב הפריצות מתחילות בהודעה שנראית תמימה: מייל שמתחזה לחברת משלוחים, לבנק, לספק או אפילו למנהל בעסק, ומבקש ללחוץ על קישור, לפתוח קובץ או לבצע העברה דחופה. ההודעות האלה הולכות ומשתכללות, ולעיתים קשה לזהות אותן במבט ראשון. כמה סימני אזהרה שכדאי להכיר:
- תחושת דחיפות מלאכותית ולחץ לפעול מיד
- בקשה לשנות פרטי חשבון בנק לתשלום לספק
- כתובת שולח שנראית דומה למקורית אבל שונה במעט
- קבצים מצורפים לא צפויים או קישורים לעמודי התחברות
- שגיאות כתיב וניסוח מוזר, אם כי לא תמיד
הכלל החשוב ביותר: כשמתקבלת בקשה חריגה, במיוחד הקשורה לכסף או לפרטי גישה, יש לאמת אותה בערוץ אחר, למשל בשיחת טלפון למספר המוכר של הספק או של העמית, ולא דרך הפרטים שמופיעים בהודעה עצמה.
עדכונים וגיבויים
עדכוני תוכנה אינם רק שיפורים בממשק. רבים מהם סוגרים פרצות אבטחה שהתגלו. מחשב, טלפון, נתב או אתר שלא עודכנו במשך חודשים חשופים לפרצות ידועות. כדאי להפעיל עדכונים אוטומטיים ככל האפשר, ולהחליף ציוד ישן שכבר אינו מקבל עדכוני אבטחה.
גיבוי הוא קו ההגנה האחרון. אם קבצים הוצפנו בידי תוכנת כופר, נמחקו בטעות או אבדו בעקבות תקלה, גיבוי עדכני מאפשר לחזור לעבודה. מומלץ לשמור לפחות עותק אחד של הגיבוי במקום נפרד מהמחשב הראשי, למשל בענן ובכונן חיצוני שאינו מחובר כל הזמן. וחשוב לא פחות: לבדוק מדי פעם שאפשר באמת לשחזר מהגיבוי.
הרשאות וניהול עובדים
בעסק עם כמה עובדים, כדאי לחשוב מי צריך גישה למה. לא כל עובד צריך הרשאת מנהל למערכות, לחשבון הבנק או לעמוד העסקי. עיקרון ההרשאה המינימלית קובע שכל אחד מקבל רק את הגישה שנדרשת לו לתפקידו. כך, גם אם חשבון של עובד נפרץ, הנזק מוגבל.
כשעובד עוזב, יש לבטל מיד את הגישות שלו ולשנות סיסמאות משותפות. כדאי גם להימנע מחשבונות משותפים שכולם מכירים את הסיסמה שלהם, ולהעדיף חשבונות אישיים עם הרשאות מתאימות. הדרכה קצרה לעובדים על זיהוי מיילים מתחזים ועל הרגלי עבודה בטוחים היא אחת ההשקעות המשתלמות ביותר.
הגנה על מידע של לקוחות
עסקים שמחזיקים מידע אישי על לקוחות, כמו שמות, כתובות, פרטי קשר ולעיתים גם מידע רגיש יותר, נושאים באחריות לשמור עליו. בישראל קיימת חקיקה בתחום הגנת הפרטיות ואבטחת המידע, והיא מטילה חובות על מי שמנהל מאגרי מידע. היקף החובות תלוי בסוג המידע ובכמותו.
כדאי לאסוף רק את המידע הנחוץ באמת, לשמור אותו במערכות מאובטחות ולא בקבצים פזורים על שולחן העבודה, ולמחוק מידע שאין בו עוד צורך. עסק שאינו בטוח מה החובות החלות עליו יעשה טוב אם יתייעץ עם יועץ אבטחת מידע או עם עורך דין המתמחה בפרטיות.
מה עושים כשמשהו קורה
גם עם כל אמצעי הזהירות, תקלות ואירועים עלולים לקרות. חשוב להיערך מראש: לדעת למי פונים, איפה נמצאים הגיבויים ומה הצעדים הראשונים. אם יש חשד לפריצה, כדאי לנתק את המחשב החשוד מהרשת, לשנות סיסמאות מחשבון נקי, להודיע לבנק אם יש חשש להונאה כספית ולפנות לאיש מקצוע.
במקרים מסוימים יש גם חובה או המלצה לדווח לגורמים רשמיים וללקוחות שנפגעו. בישראל פועל מערך הסייבר הלאומי, שמספק מידע והכוונה גם לעסקים קטנים ולציבור הרחב.
לסיכום, אבטחת מידע לעסק קטן אינה דורשת תקציב ענק אלא הרגלים נכונים: סיסמאות חזקות ואימות דו שלבי, זהירות מהודעות מתחזות, עדכונים וגיבויים סדירים, הרשאות מוגבלות ושמירה אחראית על מידע הלקוחות. כמה שעות של התארגנות היום יכולות לחסוך נזק גדול מחר.
