Cyberatak na mala firme rzadko wyglada jak scena z filmu. Czesciej zaczyna sie od maila z faktura, linku do platnosci, zalacznika od rzekomego kontrahenta albo hasla uzywanego od lat w kilku miejscach. Napastnik nie musi lamac zaawansowanych systemow, jesli moze wykorzystac pospiech, rutynę i brak prostych procedur.
Atak zaczyna sie od rutyny
Najbardziej niedocenianym zabezpieczeniem jest kopia zapasowa. Nie chodzi o plik wrzucony na ten sam komputer ani dysk stale podlaczony do sieci. Chodzi o backup, ktory mozna odtworzyc, ktory jest regularnie testowany i ktory nie zostanie zaszyfrowany razem z reszta danych. Dla firmy po ransomware to roznica miedzy przestojem a katastrofa.
Drugim filarem jest kontrola dostepu. Uwierzytelnianie wieloskladnikowe, osobne konta dla pracownikow, usuwanie dostepow po odejsciu z firmy i ograniczanie uprawnien brzmia administracyjnie, ale zmniejszaja szkody po przejeciu jednego konta. W malej organizacji jedna skrzynka pocztowa potrafi byc brama do faktur, umow, danych klientow i bankowosci.
Backup musi dac sie odtworzyc
ENISA w materialach dla malych i srednich przedsiebiorstw podkresla znaczenie podstawowych praktyk: aktualizacji, szkolen, zarzadzania haslami, ochrony urzadzen i planu reagowania. To wazne, bo rynek czesto sprzedaje cyberbezpieczenstwo jako produkt. W rzeczywistosci jest ono procesem, ktory trzeba powtarzac, sprawdzac i dostosowywac do firmy.
Szczegolnie niebezpieczne sa oszustwa platnicze. Przestepca moze podszyc sie pod prezesa, dostawce albo pracownika dzialu finansowego i poprosic o pilny przelew. Najtansza ochrona to procedura: druga osoba potwierdza zmiane numeru konta innym kanalem, a pilnosc nie zwalnia z weryfikacji. W wielu firmach to jedna kartka zasad moze zatrzymac najdrozszy blad.
Procedura moze zatrzymac przelew
Cyberhigiena musi objac takze dostawcow. Biuro rachunkowe, sklep internetowy, system magazynowy, agencja marketingowa i zewnetrzny informatyk moga miec dostep do danych albo procesow firmy. Male przedsiebiorstwo nie musi samo budowac centrum bezpieczenstwa, ale powinno wiedziec, kto ma dostep, gdzie sa dane i jak wyglada kontakt w razie incydentu.
Najwieksza zmiana jest mentalna. Cyberbezpieczenstwo nie jest zadaniem informatyka od czasu do czasu. To element zarzadzania ryzykiem, podobny do ubezpieczenia, ksiegowosci i BHP. Wlasciciel malej firmy nie musi znac wszystkich technicznych szczegolow, ale musi zadac podstawowe pytania: czy mamy kopie, kto ma dostep, co robimy, gdy cos przestaje dzialac?