אבטחת החשבונות הדיגיטליים של העסק: הצעדים הבסיסיים שכל בעל עסק חייב לעשות

בעלי עסקים קטנים נוטים לחשוב שהאקרים מתעניינים רק בחברות ענק ובבנקים. המציאות שונה: עסקים קטנים הם מטרה נוחה בדיוק משום שהם פחות מוגנים. פריצה לתיבת המייל העסקית, השתלטות על עמוד העסק ברשת החברתית, נעילת קבצים בתוכנת כופר או גניבת גישה לחשבון הפרסום יכולות לשתק עסק לימים ואף לשבועות, ולגרום לנזק כספי ותדמיתי. החדשות הטובות הן שרוב ההתקפות מנצלות חולשות בסיסיות, שאפשר לסגור בצעדים פשוטים יחסית.

מיפוי: מה בכלל יש לנו

הצעד הראשון הוא לדעת מה צריך להגן עליו. שבו ורשמו את כל החשבונות הדיגיטליים של העסק: מייל, דומיין ואחסון אתר, רשתות חברתיות, חשבונות פרסום, מערכת ניהול לקוחות, הנהלת חשבונות, בנק, ספקי תשלום, אחסון ענן וכל תוכנה אחרת שהעסק משתמש בה.

לכל חשבון כדאי לרשום מי הבעלים, אילו עובדים או ספקים חיצוניים מחזיקים בגישה, ואיזה מייל ומספר טלפון משמשים לשחזור. בעסקים קטנים רבים מתברר בשלב הזה שחשבונות חשובים רשומים על מייל פרטי של עובד שעזב, או שהדומיין נרשם על שם מעצב האתר לפני שנים. אלה פרצות שצריך לתקן.

סיסמאות חזקות וייחודיות

שימוש באותה סיסמה בכמה חשבונות הוא אחת הסכנות הגדולות. כשאתר כלשהו נפרץ ומאגר הסיסמאות שלו דולף, תוקפים מנסים את אותם פרטים בשירותים אחרים. אם הסיסמה של המייל העסקי זהה לזו של אתר קניות שנפרץ, הדרך לתיבת הדואר פתוחה.

הפתרון הוא סיסמה ארוכה וייחודית לכל חשבון, והדרך המעשית לנהל זאת היא מנהל סיסמאות. מנהלי סיסמאות מייצרים סיסמאות חזקות, שומרים אותן מוצפנות וממלאים אותן אוטומטית. רבים מהם מציעים גם גרסה עסקית שמאפשרת לשתף גישה לעובדים בצורה מבוקרת, בלי לשלוח סיסמאות בהודעות.

אימות דו שלבי: הצעד שעוצר את רוב הפריצות

אימות דו שלבי מחייב, בנוסף לסיסמה, אישור נוסף בכל התחברות ממכשיר חדש, למשל קוד מאפליקציה ייעודית, אישור בטלפון או מפתח אבטחה פיזי. גם אם הסיסמה נגנבה, התוקף לא יוכל להיכנס בלי הגורם השני.

כדאי להפעיל אימות דו שלבי בכל חשבון שמאפשר זאת, ובראש ובראשונה במייל, ברשם הדומיין, ברשתות החברתיות, בחשבונות הפרסום ובבנק. אפליקציות אימות ומפתחות אבטחה פיזיים נחשבים בטוחים יותר מקודים שנשלחים בהודעת טקסט, שעלולים להיות מיורטים בהתקפות מסוימות. שמרו את קודי הגיבוי שהשירות מספק במקום בטוח, למקרה שהטלפון יאבד.

ניהול הרשאות ועובדים

העיקרון החשוב בניהול הרשאות הוא מינימום הנדרש: כל עובד או ספק מקבל גישה רק למה שהוא צריך לעבודתו, ולא יותר. מנהלת סושיאל לא צריכה גישה לחשבון הבנק, ומפתח האתר לא צריך להיות בעלים של חשבון הפרסום.

כמה כללים לניהול נכון:
- הבעלות על חשבונות קריטיים צריכה להיות בידי בעל העסק, עם חשבון מייל עסקי ייעודי
- עדיף להעניק לעובדים ולספקים גישה דרך משתמשים אישיים ולא דרך סיסמה משותפת
- כשעובד עוזב או ספק מסיים עבודה, הסירו את הגישה שלו באותו יום
- בדקו את רשימת המורשים בכל מערכת לפחות פעם ברבעון
- הקפידו שיהיה יותר ממנהל אחד בחשבונות קריטיים, כדי לא לאבד גישה

דיוג: התקיפה שמתחילה בהודעה

רוב הפריצות לא מתחילות בקוד מתוחכם אלא בהודעה. מייל שנראה כאילו הגיע מהבנק, מחברת השילוח, מהרשת החברתית או מספק מוכר, עם בקשה דחופה להיכנס לקישור ולהזין פרטים. בעסקים, נפוצה במיוחד התחזות לספק או למנהל עם בקשה לשנות פרטי חשבון בנק להעברת תשלום.

ההגנה העיקרית היא מודעות. למדו את עצמכם ואת העובדים לעצור לפני לחיצה על קישורים, לבדוק את כתובת השולח ואת כתובת האתר לפני הזנת פרטים, ולאמת כל בקשה כספית חריגה בערוץ נפרד, למשל בשיחת טלפון למספר שכבר מוכר לכם. תחושת דחיפות היא סימן אזהרה, לא סיבה לפעול מהר.

גיבויים: התוכנית ליום שבו משהו משתבש

גם עם הגנה טובה, אין אבטחה מושלמת. לכן גיבויים הם חלק חיוני מהתוכנית. גבו באופן קבוע את קבצי העסק, את האתר ואת מסד הנתונים שלו, ואת המידע מהמערכות המרכזיות. מומלץ לשמור לפחות עותק אחד במקום נפרד, שאינו מחובר באופן קבוע לרשת העסק, כדי שתוכנת כופר לא תוכל להצפין גם אותו.

גיבוי שלא נבדק הוא הבטחה בלבד. אחת לכמה חודשים כדאי לנסות לשחזר קובץ או חלק מהאתר מהגיבוי, ולוודא שהתהליך עובד ושאתם יודעים איך לבצע אותו. כדאי לגבות גם הגדרות קריטיות, כמו רשומות הדומיין, שבלעדיהן האתר והמייל לא יעבדו.

עדכונים ומכשירים

תוכנות, מערכות הפעלה, תוספים באתר ואפליקציות מקבלים עדכוני אבטחה באופן קבוע. רבות מההתקפות מנצלות חולשות ידועות שכבר תוקנו, אצל מי שלא טרח לעדכן. הפעילו עדכונים אוטומטיים כשאפשר, ובאתרי וורדפרס הקפידו לעדכן את הליבה, התבניות והתוספים, ולהסיר תוספים שאינם בשימוש.

גם המכשירים עצמם דורשים הגנה: נעילת מסך עם קוד, הצפנת מחשבים ניידים, תוכנת הגנה מעודכנת והימנעות מעבודה על חשבונות רגישים דרך רשתות ציבוריות פתוחות. טלפון אבוד ולא נעול עם גישה למייל העסקי הוא פרצה פתוחה.

מה עושים אם נפרצתם

אם יש חשד לפריצה, פעלו מהר: החליפו סיסמאות מתוך מכשיר נקי, נתקו מכשירים וסשנים לא מוכרים, בדקו כללי העברה אוטומטית שהוגדרו בתיבת המייל, ופנו לתמיכה של השירות הרלוונטי. עדכנו את הלקוחות והספקים אם יש חשש שנשלחו בשמכם הודעות מתחזות.

במקרים של נזק משמעותי, דליפת מידע של לקוחות או דרישת כופר, כדאי לפנות לאנשי מקצוע בתחום אבטחת המידע ולהתייעץ עם עורך דין לגבי חובות הדיווח. בישראל פועלים גם גורמים ממשלתיים שמסייעים בדיווח ובטיפול באירועי סייבר.

לסיכום, אבטחת החשבונות הדיגיטליים של העסק אינה פרויקט של חברות גדולות בלבד. מיפוי החשבונות, סיסמאות ייחודיות, אימות דו שלבי, ניהול הרשאות קפדני, מודעות לדיוג, גיבויים נבדקים ועדכונים שוטפים יגנו על העסק מרוב האיומים הנפוצים, ויחסכו לכם את אחד הימים הגרועים שבעל עסק יכול לחוות.