צ'קליסט אבטחת מידע לעסק קטן

אבטחת מידע אינה מיועדת רק לארגונים גדולים. כמה פעולות בסיס מורידות משמעותית את הסיכון.

בסיס טכני

• אנטי וירוס מתקדם ועדכונים אוטומטיים.
• חומת אש ורשת אורחים נפרדת.
• גיבוי 3-2-1 ובדיקת שחזור.
• הצפנת דיסקים במחשבים ניידים.

רבים מהסעיפים בצ'קליסט חינמיים או זולים, והם נותנים את מירב ההגנה. עדיף להתחיל מהם לפני שמשקיעים בכלים יקרים.

גישה וזהות

• אימות דו-שלבי בדואר ובמערכות.
• מנהל סיסמאות לכל הארגון.
• ביטול גישה מיידי לעובד שעזב.

ניהול הרשאות הוא אחד התחומים החשובים: בדקו אילו עובדים יש להם גישה למערכות כספים, ללקוחות ולשרתים, והסירו גישות מיותרות.

אנשים ונהלים

• הדרכת פישינג אחת לרבעון.
• נוהל לאירוע אבטחה: למי מתקשרים.
• הסכמי סודיות עם ספקים.

דאגו שיהיה מישהו שאחראי על אבטחת המידע בעסק, גם אם זה תפקיד נוסף של מנהל המשרד, כדי שהנושא לא יישכח.

ניטור ובקרה

סקר סיכונים שנתי ובדיקת הרשאות. ניטור מרכזי מזהה בעיות לפני שהן הופכות לאירוע.

סקר סיכונים פשוט כולל רשימת נכסים, איומים אפשריים והחלטות על פעולות לפי עדיפות.

איך ליישם בלי עומס

אל תנסו לעשות הכול בבת אחת. בחרו שלוש פעולות לחודש הקרוב, למשל גיבוי, אימות דו-שלבי ועדכוני אבטחה, וסיימו אותן לפני שעוברים הלאה.

תעדו כל שינוי ושמרו רשימה מעודכנת של הציוד והמערכות. תיעוד מקל על ספק ה-IT לתת שירות טוב, ומאפשר שחזור מהיר אחרי תקלה.

ובדקו התקדמות אחת לרבעון. רשימה פשוטה עם וי על מה שבוצע מראה לאן הגעתם ומה עוד נשאר, ומחזקת את המחויבות בארגון.

טעויות שחוזרות על עצמן

טעות נפוצה היא להתמקד בכלי אחד, למשל אנטי וירוס, ולהניח שזה מספיק. אבטחה היא שכבות: גיבוי, הרשאות, עדכונים והדרכה פועלים יחד.

טעות נוספת היא לא לתעד. כשהעובד שהגדיר את המערכות עוזב, העסק נשאר בלי ידע על התצורה. תיעוד פשוט של הגדרות וסיסמאות במקום מאובטח פותר את הבעיה.

וטעות שלישית היא לדחות. אבטחה שנדחית לרבעון הבא עלולה להתברר כיקרה בהרבה אם בינתיים קורה אירוע. התחילו בצעד קטן עוד היום.

סיכום והמלצות

אבטחת מידע בעסק קטן היא עניין של סדר עדיפויות. כמה פעולות בסיס, כמו גיבוי, אימות דו-שלבי, עדכונים והדרכה, יוצרות הגנה חזקה גם בלי תקציב גדול.

השתמשו בצ'קליסט הזה כבסיס, בחרו שלושה סעיפים לחודש הקרוב ובצעו אותם. בכל רבעון חזרו על הבדיקה והוסיפו סעיפים. כך ההגנה גדלה עם העסק.

טיפ מהשטח

עסקים רבים מוצאים שהשלב הקשה ביותר הוא להתחיל. כדי להקל, קבעו שעה קבועה בשבוע לטיפול בנושאי אבטחה, ואל תכלילו בה דברים אחרים. כבר אחרי חודש תראו התקדמות אמיתית.

ושתפו את העובדים בהישגים. כשהם רואים שהארגון משקיע באבטחה ושהדברים משתפרים, הם נוטים לשתף פעולה ולדווח על בעיות.

מחשבים ותחנות עבודה

ודאו שכל מחשב מוצפן, מעודכן ומוגן, שיש לו משתמש אישי ולא משותף, ושמנהל המערכת מוגבל למעטים. הפעילו נעילה אוטומטית של מסך והגבלה על התקנת תוכנות.

נהלו רשימה של כל המכשירים, כולל טלפונים, עם תאריכי החלפה צפויים. מכשיר שאינו ברשימה אינו מנוהל, ולכן הוא סיכון.

בדקו שהאנטי וירוס פעיל בכל תחנה ושההתראות מגיעות לאדם אחראי ולא נעלמות בתיבה כללית.

חשבונות וסיסמאות

הפעילו אימות דו-שלבי בדואר, בענן ובמערכות כספים. השתמשו במנהל סיסמאות והימנעו משימוש חוזר בסיסמה. בטלו מיד חשבונות של עובדים שעזבו.

הפרידו בין חשבון רגיל לחשבון מנהל, ואל תעבדו יום-יום בחשבון עם הרשאות מלאות.

סקרו את הגישות פעמיים בשנה כדי לוודא שהרשאות תואמות את התפקידים הנוכחיים.

דואר, גלישה ועובדים

הפעילו סינון דואר והגדרות הגנה לדומיין, והדריכו עובדים לזהות פישינג. קבעו נוהל לאימות בקשות להעברת כספים ולשינוי פרטי בנק.

חסמו אתרים מסוכנים וקבצים מסוג מסוים, ועודדו דיווח מהיר על הודעות חשודות ללא האשמה.

תרגלו עם סימולציה כל חצי שנה, ושתפו את התוצאות כדי ללמוד ולשפר.

גיבוי והתאוששות

ודאו שיש לפחות שלושה עותקים של נתונים חשובים, אחד מהם מחוץ למשרד ובלתי ניתן לשינוי. בדקו שחזור פעם בחודש ותעדו את התוצאה.

הכינו נוהל תגובה לאירוע ורשימת טלפונים. גיבוי בענן מוגן הוא קו ההגנה האחרון מפני כופר.

עדכנו את התוכנית כשמוסיפים מערכות או משנים ספקים, כדי שהכיסוי יישאר מלא.

רשת, ציוד וספקים

החליפו סיסמאות ברירת מחדל בנתבים ובמצלמות, הפרידו רשת אורחים, ועדכנו קושחות. הפעילו חומת אש עסקית וניטור בסיסי.

בדקו אילו ספקים ניגשים למערכות שלכם, והגבילו את הגישה שלהם. הגדירו הסכם שמחייב אבטחה ודיווח על אירועים.

אם אתם רוצים לעבור על הרשימה בליווי מקצועי, אפשר לבצע סקר סיכונים שיציג מה כבר מכוסה ומה חסר.

מי אחראי על הצ'קליסט

הגדירו אחראי לאבטחה בעסק, גם אם הוא אינו איש IT. תפקידו לוודא שהרשימה נבדקת פעם ברבעון, שתקלות מטופלות ושעובדים חדשים עוברים הדרכה. בלי אחריות ברורה, רשימות נשכחות.

ספק חיצוני יכול לתמוך בו בנתונים ובביצוע הטכני, אבל ההחלטות והעדיפויות נשארות בעסק. שיתוף פעולה כזה הוא המודל היעיל ביותר.

איך מתעדפים כשאין תקציב

אם אין אפשרות לבצע הכל, התחילו בארבעה צעדים: אימות דו-שלבי, גיבוי מרוחק, עדכונים אוטומטיים והדרכת עובדים. אלה הצעדים בעלי ההשפעה הגדולה ביותר ביחס לעלות.

אחר כך הוסיפו סינון דואר, הגנה מתקדמת על תחנות וניטור, לפי רמת הסיכון בעסק. תכנון בשלבים עדיף על דחיית הכל.

מתי כדאי להיעזר במומחה

אם יש מידע רגיש, חובות רגולטוריות או עובדים מרוחקים רבים, כדאי לשלב מומחה אבטחה. בדיקת חדירות או סקר סיכונים מגלים חולשות שקשה לראות מבפנים.

גם אם הכל נראה תקין, ביקורת חיצונית פעם בשנה מספקת שקט ומאפשרת הוכחת מאמץ סביר ללקוחות ולרגולטורים.

הצ'קליסט כחלק משגרה

שלבו את הבדיקה בישיבת צוות רבעונית של חצי שעה. עברו על הסעיפים, סמנו מה הושלם, והגדירו משימות עם תאריכים. שגרה קצרה ועקבית עדיפה על פרויקט גדול שנעצר.

שמרו את התוצאות ושתפו אותן עם ההנהלה. מעקב אחרי התקדמות מראה שהאבטחה משתפרת, ומסייע להצדיק תקציב נוסף כשהוא נחוץ. אם אין לכם פנאי, שירותי מחשוב מנוהלים יכולים לבצע זאת עבורכם.

טעויות נפוצות בצ'קליסט

הטעות הנפוצה היא סימון סעיפים כבוצעו בלי בדיקה אמיתית, למשל "גיבוי קיים" בלי שחזור לדוגמה. דרשו הוכחה, כמו צילום מסך או דוח, לכל סעיף חשוב.

טעות נוספת היא התמקדות בטכנולוגיה ושכחת האנשים: עובדים שאינם מודעים, נהלים שאינם ידועים וגישות שאינן נמחקות הם מקור לחלק גדול מהאירועים.

שאלות נפוצות על הצ'קליסט

כמה זמן לוקח לעבור על הרשימה? כשעה לבדיקה ראשונית, וכמה ימים לטיפול בפערים. האם אפשר לבצע בלי ידע טכני? אפשר לסמן את רוב הסעיפים, ואת השאר כדאי לבדוק עם איש מקצוע.

איך יודעים אם הכל תקין? מבקשים הוכחה לכל סעיף, כמו דוח גיבוי או צילום מסך של הגדרה, ולא מסתפקים בהצהרה.

לסיכום

אבטחה טובה בעסק קטן נבנית בצעדים קטנים ועקביים. התחילו מהרשימה הזו כבר היום, וחזרו אליה בכל רבעון.

שאלות נפוצות

מאיפה מתחילים?

מגיבוי, אימות דו-שלבי ועדכונים. שלוש הפעולות האלו מצמצמות חלק גדול מהסיכון.

האם עסק קטן באמת מותקף?

כן. תוקפים משתמשים בכלים אוטומטיים ולא בוחרים לפי גודל.

כל כמה זמן מעדכנים את הרשימה?

לפחות פעם בשנה, ובכל שינוי משמעותי בעסק או בטכנולוגיה.

כמה עולה ליישם את הצ'קליסט?

רבים מהצעדים אינם דורשים תשלום, כמו הפעלת אימות דו-שלבי ועדכונים. עלות עיקרית היא בגיבוי, בהגנה על הדואר ובשירותי ניטור.

האם חייבים לשכור מומחה?

לא תמיד. אפשר להתחיל לבד, אך בדיקה מקצועית אחת לשנה מגלה פערים שקשה לראות מבפנים.

איך יודעים שהעסק מוגן?

מבצעים סקר סיכונים ובדיקות שחזור, ומוודאים שיש נהלים ואחראים. אין הגנה מלאה, אבל אפשר להגיע לרמה טובה.

הצעד הבא

קלאודז מבצעת סקר סיכונים והקשחה לעסקים. השאירו פרטים.

קראו גם: סקר סיכונים ואבטחת מידע · אבטחת מידע וסייבר · אבטחת מידע לעסקים