אבטחת מידע לעסק קטן: הצעדים הבסיסיים שמגנים מפני פריצות והונאות
עסקים קטנים הם מטרה אהובה על פורצים. רשימת צעדים פשוטים להגנה על חשבונות, מחשבים ומידע של לקוחות.
בעלי עסקים קטנים נוטים לחשוב שפריצות סייבר הן בעיה של בנקים ותאגידים גדולים. בפועל, עסקים קטנים הם מטרה נוחה דווקא משום שההגנה שלהם חלשה יותר. חשבון אינסטגרם שנפרץ, תיבת מייל שמשמשת לשליחת חשבוניות מזויפות ללקוחות או מחשב שהקבצים בו הוצפנו ונדרש כופר, הם תרחישים שקורים בישראל כל הזמן. החדשות הטובות הן שרוב ההתקפות האלה ניתנות למניעה באמצעות צעדים בסיסיים, שלא דורשים תקציב גדול או ידע טכני מתקדם.
אימות דו שלבי: הצעד החשוב ביותר
אם יש צעד אחד שכדאי לעשות היום, זה להפעיל אימות דו שלבי בכל החשבונות החשובים: המייל, הרשתות החברתיות, חשבון הבנק, מערכת הנהלת החשבונות ופאנל הניהול של האתר. האימות הדו שלבי מחייב, מלבד הסיסמה, גם קוד שנשלח לטלפון או מופק באפליקציה ייעודית. כך, גם אם הסיסמה דלפה, הפורץ לא יוכל להיכנס.
כדאי להעדיף אפליקציית אימות או מפתח אבטחה פיזי על פני קוד במסרון, משום שמסרונים חשופים יותר להתקפות מסוימות. ובכל מקרה, חשוב לשמור את קודי הגיבוי שהשירות מספק במקום בטוח, כדי שלא תינעלו מחוץ לחשבון אם הטלפון יאבד.
סיסמאות: חזקות, שונות ומנוהלות
הבעיה הנפוצה ביותר היא שימוש באותה סיסמה בכמה מקומות. כשאתר אחד נפרץ ומאגר הסיסמאות שלו דולף, הפורצים מנסים את אותם פרטים בשירותים אחרים. מי שמשתמש באותה סיסמה למייל ולאתר קניות שנפרץ, מסכן את כל העסק.
הפתרון המעשי הוא מנהל סיסמאות, תוכנה ששומרת את כל הסיסמאות בצורה מוצפנת ויוצרת סיסמאות ארוכות ואקראיות לכל שירות. צריך לזכור רק סיסמה ראשית אחת, חזקה במיוחד. מנהלי סיסמאות רבים מאפשרים גם שיתוף מבוקר של סיסמאות עם עובדים, בלי לשלוח אותן בוואטסאפ או לכתוב אותן על פתק ליד המחשב.
דיוג והנדסה חברתית
רוב הפריצות מתחילות בהודעה. מייל שנראה כאילו הגיע מספק, מהבנק או מרשות המסים, מסרון על חבילה שממתינה, או הודעה מ״מנהל״ שמבקש לבצע העברה דחופה. הפורצים מנצלים לחץ, סמכות וסקרנות. כמה סימנים שצריכים להדליק נורה אדומה:
- דחיפות מוגזמת ואיום בסגירת חשבון או בקנס
- בקשה להזין סיסמה או קוד אימות דרך קישור
- שינוי פתאומי בפרטי חשבון הבנק של ספק קבוע
- כתובת שולח שדומה למקורית אבל שונה באות אחת
- קובץ מצורף לא צפוי, במיוחד קבצים דחוסים או מסמכים שמבקשים להפעיל תוכן
כלל חשוב במיוחד: כל בקשה לשנות פרטי חשבון לתשלום צריכה להיות מאומתת בשיחת טלפון למספר שכבר מוכר לכם, ולא למספר שמופיע בהודעה עצמה. הונאות מסוג זה גורמות לעסקים להעביר סכומים גדולים לחשבונות של עבריינים.
גיבויים: הביטוח הטוב ביותר
תוכנות כופר מצפינות את הקבצים במחשב ודורשות תשלום כדי לשחרר אותם. גם תשלום הכופר אינו מבטיח שהקבצים יחזרו. ההגנה הטובה ביותר היא גיבוי סדיר ועדכני, ששמור במקום נפרד מהמחשב עצמו. כלל אצבע מקובל הוא להחזיק לפחות שלושה עותקים של המידע החשוב, בשני סוגי אחסון שונים, כשאחד מהם מחוץ למשרד, למשל בענן.
חשוב לא פחות לבדוק מדי פעם שאפשר באמת לשחזר מהגיבוי. עסקים רבים מגלים ברגע האמת שהגיבוי הפסיק לעבוד לפני חודשים, או שהוא לא כולל את הקבצים החשובים. בדיקה כזו פעם ברבעון יכולה לחסוך אסון.
עדכונים, עובדים והרשאות
עדכוני תוכנה סוגרים פרצות אבטחה ידועות. מחשב, טלפון או אתר שלא מתעדכנים הם דלת פתוחה. כדאי להפעיל עדכונים אוטומטיים בכל מקום שאפשר, כולל בתוספים של האתר ובנתב הרשת במשרד.
כשיש עובדים, צריך לחשוב על הרשאות. לא כל עובד צריך גישה לכל דבר. כדאי לתת לכל אחד חשבון משלו, עם הרשאות שמתאימות לתפקידו, ולבטל את הגישה מיד כשהוא עוזב. שיחה קצרה עם הצוות על הונאות נפוצות ועל מה עושים כשמשהו נראה חשוד שווה יותר מכל תוכנה.
כשבכל זאת קרה משהו
אם אתם חושדים בפריצה, פעלו מהר: החליפו סיסמאות ממחשב נקי, נתקו את המכשיר הנגוע מהרשת, עדכנו את הבנק אם יש חשש לכספים, והודיעו ללקוחות אם ייתכן שנשלחו אליהם הודעות מזויפות בשמכם. עסק שמחזיק מידע אישי של לקוחות עשוי להיות מחויב גם בדיווח לרשות להגנת הפרטיות, ולכן כדאי להתייעץ עם עורך דין או מומחה אבטחת מידע. במקרים מסוימים אפשר לפנות גם למערך הסייבר הלאומי לקבלת סיוע.
אבטחת האתר והחנות המקוונת
לעסקים שמפעילים אתר או חנות מקוונת יש שכבת סיכון נוספת. אתר שנפרץ עלול להפיץ נוזקות למבקרים, להפנות אותם לאתרים זדוניים או לדלוף פרטים של לקוחות. כמה צעדים בסיסיים מפחיתים את הסיכון: עדכון שוטף של מערכת ניהול התוכן ושל התוספים, מחיקת תוספים שלא בשימוש, סיסמה חזקה ואימות דו שלבי לפאנל הניהול, וגיבוי אוטומטי של האתר.
כדאי גם לבחור ספק אחסון שמציע הגנות בסיסיות, כמו חומת אש לאתרים וסריקה לאיתור קוד זדוני. אם האתר מעבד תשלומים, עדיף שפרטי האשראי יוזנו ישירות בעמוד של חברת הסליקה ולא יישמרו בשרת של העסק, כך שגם במקרה של פריצה המידע הרגיש לא ייחשף.
לסיכום, אבטחת מידע בעסק קטן אינה עניין של מומחים בלבד. אימות דו שלבי, סיסמאות ייחודיות, ערנות להודעות חשודות, גיבויים סדירים ועדכונים שוטפים מונעים את רוב המקרים. מי שמקדיש לכך כמה שעות היום חוסך לעצמו נזק כספי ותדמיתי שיכול להיות קשה מאוד לתקן.
