המייל נראה כמו הודעה רגילה מהבנק, הספק או רשות המסים. עובד אחד לוחץ על קישור, מזין סיסמה, ובתוך דקות תיבת הדואר העסקית או קבצי החברה עלולים לעבור לידיים זרות. מדריך אבטחת מידע לעסקים קטנים לא נועד להפוך אתכם לאנשי מחשבים. הוא נועד למנוע את הרגע שבו אתם שואלים: "למה כל הקבצים נעולים?" או "איך נשלח עכשיו הצעות מחיר ללקוחות?"
עסק קטן הוא יעד נוח יחסית. לא כי הוא פחות חשוב, אלא כי לרוב אין בו מחלקת מחשוב שמנטרת כל התראה, בודקת הרשאות ומוודאת גיבוי. דווקא לכן צריך לבנות הגנה פשוטה, מסודרת ומעשית – כזו שמאפשרת להמשיך לעבוד, גם כשמחשב מתקלקל, עובד עוזב או נשלחת הודעת דיוג משכנעת.
אבטחת מידע מתחילה במיפוי, לא ברכישת תוכנה
לפני שמתקינים עוד תוכנת הגנה, צריך להבין מה באמת דורש הגנה. בעסק שירותים זה יכול להיות תיק הלקוחות, הצעות מחיר, חשבוניות, מסמכי הנהלת חשבונות, תיבות דואר, קבצי תכנון או מאגר מידע מקצועי. בחנות או בחברה מסחרית יצטרפו לכך נתוני ספקים, מלאי, מערכות סליקה ולעיתים גישה מרחוק למחסן או למצלמות.
שאלו שלוש שאלות פשוטות: אילו נתונים ישביתו את העסק אם ייעלמו? מי יכול לגשת אליהם כיום? והאם אפשר לשחזר אותם במהירות אם מחשב אחד, או כל הרשת, נפגעים? התשובות חושפות בדרך כלל בעיות מוכרות: קבצים שמורים רק על מחשב אחד, סיסמה משותפת לכל העובדים, או גיבוי שלא נבדק כבר שנים.
המטרה אינה ליצור מערכת מסובכת. המטרה היא להפריד בין הדברים הקריטיים לבין הנוחות הזמנית. למשל, נוח מאוד לתת לכולם את אותה סיסמה לתיקייה משותפת. אבל כשעובד עוזב, או כשסיסמה דולפת, אין דרך לדעת מי נכנס ומתי. חשבון אישי לכל עובד דורש עוד כמה דקות בהקמה, אך נותן שליטה אמיתית.
סיסמאות ואימות דו-שלבי: קו ההגנה הראשון
הרבה מתקפות לא מתחילות בפריצה מתוחכמת למחשב. הן מתחילות בסיסמה שנחשפה בהדלפה ישנה, בסיסמה קלה לניחוש או בדף התחברות מזויף. אם אותה סיסמה משמשת גם למייל, גם לחשבון ענן וגם למערכת הנהלת חשבונות, הנזק יכול להתפשט במהירות.
לכל עובד צריך להיות חשבון נפרד וסיסמה ייחודית. סיסמה טובה היא ארוכה, לא בהכרח בלתי אפשרית לזכור. אפשר להשתמש במשפט פרטי שאינו מוכר לאחרים, ולשלב בו מספרים ותווים לפי דרישת המערכת. מנהל סיסמאות יכול לעזור, במיוחד כאשר יש עשרות שירותים עסקיים שונים.
מעל הסיסמה יש להפעיל אימות דו-שלבי, במיוחד בדואר האלקטרוני, בחשבונות Microsoft 365, בגיבוי ענן ובמערכות כספיות. כך, גם אם הסיסמה נגנבה, התוקף עדיין יצטרך אישור נוסף מהטלפון או מאפליקציית אימות. יש מקרים שבהם עובד משתמש בטלפון אישי לצורך האימות, וזה פתרון סביר לעסק קטן – אבל חשוב להגדיר מראש מה קורה כשהוא מחליף מכשיר או עוזב את העבודה.
כשעובד עוזב, הגישה חייבת להסתיים באותו יום
עזיבת עובד אינה אירוע אישי בלבד, אלא גם פעולה טכנית. יש לחסום את חשבון הדואר, לבטל גישה לתיקיות, למערכות ענן ולתוכנות מקצועיות, ולהעביר מיילים או קבצים נחוצים לגורם אחראי. אין צורך למחוק מידע מיד, אך אין סיבה להשאיר חשבון פעיל "למקרה שצריך".
אותו כלל נכון לספקים חיצוניים, רואה חשבון, בונה אתרים או טכנאי שקיבלו גישה זמנית. גישה זמנית צריכה להיות מוגבלת בזמן ובמידת האפשר גם בהיקף. ספק שמטפל באתר לא חייב לקבל גישה לתיבת הדואר הראשית של החברה.
דואר אלקטרוני הוא שער הכניסה המרכזי
הודעות דיוג כבר אינן תמיד מלאות בשגיאות כתיב. הן יכולות להיראות כמו בקשת תשלום מספק אמיתי, הודעת חבילה או מסמך לשיתוף. לפעמים הן נשלחות אפילו מחשבון של לקוח שנפרץ, ולכן כתובת מוכרת אינה הוכחה שההודעה בטוחה.
הכלל שכדאי להטמיע אצל העובדים הוא לעצור לפני פעולה חריגה. בקשה לשנות פרטי חשבון בנק, להעביר תשלום דחוף, להזין סיסמה או לפתוח קובץ בלתי צפוי – מאמתים בטלפון מול האדם הרלוונטי. לא עונים לאותו מייל ולא מתקשרים למספר שמופיע בו, אלא משתמשים בפרטים שכבר מוכרים לעסק.
אין צורך להפחיד עובדים או להפוך אותם לחשדנים כלפי כל הודעה. הדרכה קצרה, חוזרת ומעשית עובדת טוב יותר. אפשר להציג דוגמאות אמיתיות של הודעות חשודות ולתת הנחיה ברורה: אם יש ספק, לא לוחצים ומבקשים בדיקה. עדיף לעכב פעולה בעשר דקות מאשר להשבית משרד לכמה ימים.
עדכונים, הגנה על מחשבים והרשאות נכונות
מחשב עם מערכת הפעלה ותוכנות שלא עודכנו הוא דלת פתוחה לבעיות שכבר יש להן תיקון. עדכוני Windows, הדפדפן, תוכנת הדואר, תוכנות גישה מרחוק והנתב חשובים לא פחות מאנטי-וירוס. עם זאת, בעסק שעובד עם תוכנה מקצועית ישנה או ציוד ייעודי, לא תמיד מתקינים עדכון משמעותי ברגע שהוא יוצא. בודקים תאימות, מתזמנים חלון עבודה מתאים ומוודאים שיש גיבוי לפני שינוי גדול.
לכל מחשב צריך להיות פתרון הגנה פעיל ומעודכן, ומומלץ שלא כל עובד יעבוד עם הרשאות מנהל. הרשאות מנהל מאפשרות התקנה ושינויים עמוקים במערכת, ולכן גם תוכנה זדונית שקיבלה אותן יכולה לגרום יותר נזק. העובד יכול להמשיך לעבוד רגיל בחשבון מוגבל, ואת פעולות התחזוקה מבצעים רק כשיש צורך.
גם הרשת האלחוטית דורשת טיפול. סיסמת Wi-Fi חלשה, נתב ישן שלא עודכן או רשת אורחים שמחוברת לאותה רשת של מחשבי העסק הם סיכונים מיותרים. רשת נפרדת לאורחים ולמכשירים אישיים מצמצמת את החשיפה בלי להקשות על מי שמגיע למשרד.
גיבוי: לא רק לשמור עותק, אלא לדעת שאפשר לחזור לעבוד
הגיבוי הוא רשת הביטחון של העסק. הוא מגן מפני מחיקה בטעות, כשל בדיסק, גניבת מחשב, תקלה בתוכנה וגם כופרה שמצפינה קבצים. אבל כונן חיצוני שמחובר כל הזמן לאותו מחשב אינו הגנה מספקת: כופרה עלולה להצפין גם אותו.
גיבוי נכון כולל יותר מעותק אחד, ובדרך כלל לפחות עותק אחד שנמצא מחוץ למשרד או בענן מנוהל. חשוב להגדיר מה מגבים: לא רק מסמכי Word ותמונות, אלא גם תיקיות עבודה, דואר אלקטרוני, מסדי נתונים, תוכנות קריטיות ולעיתים מכונות וירטואליות. עבור עסק שעובד עם שרת, מערכת SQL או תוכנה מקצועית, גיבוי קבצים בלבד לא תמיד יאפשר חזרה מהירה לעבודה.
השאלה החשובה היא לא רק "האם יש גיבוי?" אלא "מתי בדקנו שחזור?" בדיקת שחזור תקופתית מגלה אם חסרות תיקיות, אם הגיבוי נעצר בגלל תקלה או אם זמן השחזור ארוך מדי לצורכי העסק. משרד קטן יכול להסתפק בשחזור קובץ לדוגמה פעם בתקופה. עסק שתלוי בשרת או במסד נתונים צריך תהליך מסודר יותר.
חשוב גם להבין ששטח אחסון בענן אינו בהכרח גיבוי מלא. שירותי ענן מסוימים מאפשרים שחזור גרסאות לתקופה מוגבלת, אך מחיקה, שינוי הרשאות או מתקפה על החשבון עלולים להשפיע גם על הקבצים שם. גיבוי נפרד ומנוהל נותן שכבת הגנה נוספת.
מה עושים כשחושדים בפריצה או בכופרה?
לחץ גורם לאנשים ללחוץ מהר יותר, בדיוק כשצריך לעצור. אם מופיעה הודעת כופר, אם קבצים מקבלים סיומת מוזרה, אם נשלחו מיילים שלא כתבתם או אם עובד הזין סיסמה בדף חשוד – אל תמשיכו לעבוד כרגיל ואל תנסו "לתקן" הכול לבד.
- נתקו את המחשב החשוד מהרשת ומה-Wi-Fi, אך אל תכבו אותו לפני קבלת הנחיה מקצועית.
- עדכנו מיד את מי שאחראי על המחשוב ואת מנהל העסק, ורשמו מה קרה ומתי.
- החליפו סיסמאות מחשבון נקי, במיוחד סיסמת דואר וחשבונות מנהל, והפעילו אימות דו-שלבי אם לא הופעל.
- בדקו אם האירוע מוגבל למחשב אחד, לחשבון דואר אחד או שכבר הגיע לתיקיות משותפות ולמחשבים נוספים.
- אל תשלמו כופר מתוך לחץ ואל תמחקו ראיות. קודם בודקים את היקף הפגיעה ואת אפשרויות השחזור.
במקרים כאלה, מהירות חשובה, אבל גם סדר. טיפול לא נכון עלול למחוק את האפשרות להבין מה קרה או לשחזר מידע. בטופ מחשבים אפשר לקבל מעטפת אחת של תמיכה, טיפול במחשבים, אבטחה וגיבוי, כך שלא צריך להתחיל לחפש כמה ספקים בזמן שהעסק ממתין.
מדריך אבטחת מידע לעסקים קטנים הוא תהליך קבוע
אבטחת מידע טובה אינה פרויקט חד-פעמי ולא מוצר שמתקינים ושוכחים ממנו. עובדים מתחלפים, מחשבים מוחלפים, נוספות תוכנות, וספקים מקבלים גישה. לכן כדאי לקבוע בדיקה תקופתית קצרה: מי מחזיק בגישה, האם העדכונים תקינים, האם הגיבוי הצליח והאם יש מחשב ישן שנשאר מחובר בלי סיבה.
לא כל עסק צריך את אותה רמת הגנה. עצמאי עם מחשב אחד זקוק לפתרון פשוט ואמין, בעוד משרד עם עובדים, דואר משותף, שרת ומאגר לקוחות זקוק לניהול מסודר יותר. הדבר החשוב הוא לא להמתין לאירוע הראשון. כמה פעולות נכונות שנעשות עכשיו יכולות לחסוך ימים של השבתה, אובדן אמון והרבה מאוד כאב ראש.