אבטחת חשבונות דיגיטליים בעסק קטן: הצעדים שמונעים את רוב הפריצות

בעל עסק קטן נוטה לחשוב שהאקרים מתעניינים רק בבנקים, בחברות ענק ובמשרדי ממשלה. בפועל, עסקים קטנים הם מטרה נוחה במיוחד, דווקא משום שהם פחות מוגנים. חשבון אינסטגרם עסקי שנגנב, תיבת מייל שנפרצה ושולחת חשבוניות מזויפות ללקוחות או אתר שהושבת יכולים לגרום לנזק כספי ותדמיתי משמעותי. הבשורה הטובה היא שרוב המקרים האלה ניתנים למניעה בעזרת כמה הרגלים פשוטים שלא דורשים תקציב גדול או ידע טכני מעמיק.

איך פורצים בפועל

כדי להתגונן, כדאי להבין קודם מאיפה מגיע האיום. רוב הפריצות לעסקים קטנים מתחילות באחת משלוש דרכים: סיסמה שדלפה או שקל לנחש, הודעת דיוג שגורמת לעובד להקליד את פרטי ההתחברות שלו באתר מזויף, או תוכנה זדונית שהותקנה ממקור לא אמין.

במיוחד נפוצות היום הודעות שמתחזות לרשת חברתית ומודיעות שהחשבון העסקי עומד להיחסם בגלל הפרת זכויות יוצרים, או הודעות שמתחזות לחברת שליחויות, לבנק או לספק קבוע. הן נראות משכנעות, מעוצבות היטב ויוצרות תחושת דחיפות. המטרה תמיד זהה: לגרום לכם ללחוץ על קישור ולמסור פרטים.

אימות דו שלבי הוא חובה

אם יש צעד אחד שכדאי לעשות כבר היום, זה להפעיל אימות דו שלבי בכל חשבון חשוב: המייל, הרשתות החברתיות, הבנק, מערכת הנהלת החשבונות, האחסון של האתר ושירותי הענן. גם אם הסיסמה דלפה, הפורץ יצטרך גם את הקוד החד פעמי כדי להיכנס.

עדיף להשתמש באפליקציית אימות או במפתח אבטחה פיזי ולא בהודעת SMS, שחשופה יותר להתקפות של העברת מספר הטלפון. ומה שחשוב לא פחות: לשמור את קודי הגיבוי שמקבלים בעת ההפעלה במקום בטוח. מי שמאבד את הטלפון בלי קודי גיבוי עלול לגלות שהוא נעל את עצמו מחוץ לחשבון של העסק.

סיסמאות: ארוכות, שונות ושמורות היטב

הבעיה בסיסמאות היא לא רק שהן חלשות, אלא שהן חוזרות על עצמן. אם אותה סיסמה משמשת גם לפורום תחביבים וגם למייל העסקי, דליפה מהפורום היא דליפה של המייל. הפתרון המעשי הוא מנהל סיסמאות, תוכנה ששומרת את כל הסיסמאות בכספת מוצפנת ומייצרת סיסמה ארוכה ואקראית לכל אתר.

לעסקים עם כמה עובדים יש מנהלי סיסמאות שמאפשרים לשתף גישה לחשבון מסוים בלי לחשוף את הסיסמה עצמה, ולבטל את הגישה מיד כשעובד עוזב. זה הרבה יותר בטוח מקובץ סיסמאות משותף או מפתק שתלוי על המסך.

מי מחזיק במפתחות

נקודה שרבים מזניחים היא שאלת הבעלות. לא פעם מתברר שהדומיין של העסק רשום על שם מעצב שעבד איתם לפני עשור, שדף הפייסבוק מנוהל רק מחשבון אישי של עובד לשעבר, או שהגישה לאחסון האתר נמצאת רק אצל ספק חיצוני. ביום שמשהו משתבש, זה הופך לסיוט.

כדאי לערוך רשימה מסודרת של כל הנכסים הדיגיטליים של העסק ולוודא:

• שהבעלים של העסק הוא מנהל ראשי בכל חשבון חשוב
• שיש לפחות שני מנהלים מורשים, למקרה שאחד מאבד גישה
• שכל עובד מקבל הרשאות רק למה שהוא באמת צריך
• שגישות של עובדים וספקים שסיימו את העבודה מבוטלות מיד
• שפרטי השחזור, כמו מייל וטלפון לגיבוי, מעודכנים ושייכים לעסק

גיבויים ועדכונים

מתקפות כופר, שבהן הקבצים מוצפנים והפורצים דורשים תשלום לשחרורם, פוגעות גם בעסקים קטנים. ההגנה הטובה ביותר היא גיבוי קבוע, אוטומטי ומופרד מהמחשבים הרגילים, כך שגם אם הם נפגעים, הגיבוי נשאר נקי. חשוב לבדוק מדי פעם שאפשר באמת לשחזר מהגיבוי, ולא רק להניח שהוא עובד.

במקביל, הקפידו להתקין עדכוני תוכנה למחשבים, לטלפונים, לנתבים ולמערכות ניהול האתר. רוב העדכונים סוגרים פרצות אבטחה מוכרות, ופורצים מנצלים בדיוק את המערכות שלא עודכנו. הפעלת עדכונים אוטומטיים, היכן שאפשר, חוסכת הרבה כאב ראש.

הגורם האנושי

הטכנולוגיה הטובה ביותר לא תעזור אם עובד ילחץ על קישור זדוני. לכן כדאי לקיים פעם בכמה חודשים שיחה קצרה עם הצוות על סימני האזהרה: לחץ זמן חריג, בקשה לשנות פרטי חשבון בנק להעברה, כתובת שולח שנראית כמעט נכונה, או קובץ מצורף לא צפוי. כלל פשוט שמונע הרבה נזק הוא לאמת כל בקשה כספית חריגה בשיחת טלפון למספר מוכר, ולא למספר שמופיע בהודעה עצמה.

אם בכל זאת קרתה פריצה, פעלו מהר: החליפו סיסמאות, נתקו מכשירים חשודים, עדכנו את הבנק ואת הלקוחות במידת הצורך, ופנו לאיש מקצוע בתחום אבטחת המידע. עסקים שמחזיקים מידע אישי של לקוחות צריכים גם לבדוק את חובותיהם לפי חוק הגנת הפרטיות, ורצוי להתייעץ על כך עם עורך דין.

רשת אלחוטית ומכשירים בעסק

נקודה נוספת שנוטים לשכוח היא הרשת האלחוטית. במקומות רבים הלקוחות, העובדים, הקופה והמצלמות מחוברים כולם לאותה רשת, לפעמים עם הסיסמה שהגיעה מהמפעיל ביום ההתקנה. עדיף להפריד בין רשת אורחים לבין הרשת הפנימית של העסק, להחליף את סיסמת הניהול של הנתב ולעדכן אותו מדי פעם. זה צעד פשוט שמונע מגורם זר שיושב בבית הקפה לגשת למכשירים שלכם.

גם הטלפונים והמחשבים הניידים של העסק דורשים תשומת לב. נעילת מסך עם קוד, הצפנת המכשיר והפעלת אפשרות לאיתור ולמחיקה מרחוק יבטיחו שמכשיר שנשכח במונית לא יהפוך לדליפת מידע. ואם עובדים משתמשים במכשירים הפרטיים שלהם לצורכי עבודה, כדאי לקבוע כללים ברורים לגבי מה מותר לשמור עליהם ומה לא.

אבטחת מידע בעסק קטן היא לא פרויקט חד פעמי אלא שגרה. אימות דו שלבי, מנהל סיסמאות, סדר בהרשאות, גיבויים ועובדים ערניים יסגרו את רוב הדלתות שדרכן נכנסים הפורצים, ויאפשרו לכם להתרכז במה שאתם באמת אוהבים לעשות.