אבטחת מידע לעסק קטן: הצעדים הפשוטים שמונעים את רוב הפריצות

כשחושבים על מתקפות סייבר, עולות בדרך כלל כותרות על בנקים, בתי חולים וחברות ענק. אבל בפועל, חלק גדול מהמתקפות מכוונות דווקא לעסקים קטנים ובינוניים. הסיבה פשוטה: הם מחזיקים מידע בעל ערך, כמו פרטי לקוחות, חשבונות בנק וגישה למערכות, ובדרך כלל מוגנים הרבה פחות. משרד רואי חשבון, קליניקה, חנות אונליין או משרד תיווך יכולים למצוא את עצמם יום אחד עם מחשבים נעולים, חשבון מייל שנפרץ או אתר שהושבת. החדשות הטובות הן שרוב הנזקים האלה ניתנים למניעה בצעדים פשוטים יחסית.

הסיסמה היא קו ההגנה הראשון

רוב הפריצות מתחילות בסיסמה חלשה או גנובה. סיסמאות כמו שם העסק ומספרים עוקבים, או סיסמה אחת שמשמשת לכל המערכות, הן הזמנה פתוחה. כשאתר כלשהו שבו נרשמתם נפרץ, התוקפים מנסים את אותה סיסמה בכל מקום אחר: במייל, בבנק, ברשתות החברתיות.

הפתרון הוא סיסמה ארוכה וייחודית לכל שירות. מכיוון שאי אפשר לזכור עשרות סיסמאות כאלה, כדאי להשתמש במנהל סיסמאות, תוכנה שמייצרת ושומרת סיסמאות חזקות ומאפשרת גישה אליהן בצורה מאובטחת. יש פתרונות כאלה גם לצוותים, שמאפשרים לשתף גישה למערכות בלי לשלוח סיסמאות בהודעות.

אימות דו-שלבי: השכבה שעוצרת את רוב המתקפות

גם סיסמה חזקה יכולה לדלוף. לכן הצעד החשוב ביותר שכל עסק צריך לעשות הוא להפעיל אימות דו-שלבי בכל מקום שאפשר, ובמיוחד בחשבונות המייל, בבנק, באחסון האתר, בשירותי הענן וברשתות החברתיות. כך, גם אם מישהו השיג את הסיסמה, הוא יצטרך גם קוד חד פעמי מהטלפון שלכם.

עדיף להשתמש באפליקציית אימות או במפתח אבטחה פיזי ולא בהודעות טקסט, שהן פחות בטוחות, אבל גם הודעות טקסט עדיפות בהרבה על כלום. ההפעלה לוקחת כמה דקות לכל שירות, וזו כנראה ההשקעה המשתלמת ביותר באבטחת מידע.

לזהות הודעות פישינג

פישינג הוא ניסיון להונות אתכם למסור פרטים או ללחוץ על קישור זדוני, באמצעות הודעה שנראית אמיתית. מייל שמתחזה לבנק, לחברת שליחויות, לרשות המסים או לספק קבוע. הודעה שמבקשת לעדכן פרטי תשלום, לאשר משלוח או לפתוח חשבונית מצורפת. התוקפים נעשים מתוחכמים יותר, וההודעות שלהם נראות לעיתים משכנעות מאוד.

סימנים שצריכים להדליק נורה אדומה:

• תחושת דחיפות מלאכותית, כמו החשבון ייחסם תוך שעה.
• כתובת שולח שנראית דומה למקור אבל לא זהה.
• בקשה לשנות פרטי חשבון בנק להעברת תשלום.
• קובץ מצורף לא צפוי, במיוחד קבצים דחוסים או מסמכים שמבקשים להפעיל תכונות.
• קישור שמוביל לכתובת שלא תואמת את השולח.

במקרה של ספק, אל תלחצו. פנו לגורם השולח בערוץ אחר שאתם מכירים, למשל בטלפון שמופיע אצלכם ולא בזה שמופיע בהודעה.

הונאת העברה בנקאית

אחד התרחישים הנפוצים והכואבים במיוחד הוא הונאה שבה התוקף משתלט על תיבת מייל של ספק או של לקוח, ושולח הודעה על שינוי פרטי חשבון הבנק. העסק מעביר את התשלום הבא לחשבון החדש, והכסף נעלם. מקרים כאלה גרמו להפסדים משמעותיים לעסקים בישראל ובעולם.

הכלל פשוט ואסור לוותר עליו: כל שינוי בפרטי חשבון בנק של ספק מאומת בשיחת טלפון למספר המוכר, לפני ביצוע ההעברה. כדאי לקבוע את הנוהל הזה בכתב ולוודא שכל מי שמבצע תשלומים בעסק מכיר אותו.

גיבויים: הביטוח שלכם

מתקפות כופר, שבהן התוקפים מצפינים את הקבצים ודורשים תשלום כדי לשחרר אותם, הן אחד האיומים המשמעותיים על עסקים. ההגנה הטובה ביותר מפניהן היא גיבוי טוב. אם יש לכם עותק עדכני של כל המידע החשוב, במקום נפרד שהתוקפים לא יכולים להגיע אליו, תוכלו לשחזר את המערכות בלי לשלם.

כלל אצבע מקובל הוא להחזיק שלושה עותקים של המידע, בשני סוגי אחסון שונים, כשאחד מהם מחוץ למשרד או בענן ומנותק מהרשת הרגילה. וחשוב לא פחות: לבדוק מדי פעם שהשחזור באמת עובד. גיבוי שמעולם לא נבדק הוא הימור.

עדכונים, הרשאות ומכשירים

תוכנות ומערכות הפעלה שלא מתעדכנות הן פרצה פתוחה. עדכוני האבטחה נועדו לסגור חולשות שהתגלו, והתוקפים מחפשים בדיוק את מי שלא התקין אותם. הפעילו עדכונים אוטומטיים במחשבים, בטלפונים, בנתב ובאתר. אם האתר בנוי על מערכת ניהול תוכן, ודאו שגם התוספים והתבניות מתעדכנים.

כדאי גם לעשות סדר בהרשאות. לא כל עובד צריך גישה לכל המערכות, ובטח שלא הרשאות ניהול. כשעובד עוזב, יש לבטל מיד את כל הגישות שלו ולהחליף סיסמאות משותפות. ובמכשירים ניידים, הקפידו על נעילת מסך, הצפנה ואפשרות למחיקה מרחוק במקרה של אובדן.

להכין את הצוות

הטכנולוגיה היא רק חצי מהסיפור. החוליה החלשה היא לעיתים קרובות האדם שלוחץ על הקישור הלא נכון. הדרכה קצרה לצוות, שמסבירה איך נראה פישינג, מה הנהלים לגבי תשלומים ולמי פונים כשמשהו נראה חשוד, יכולה למנוע אסונות. חשוב ליצור אווירה שבה עובד שטעה מרגיש בנוח לדווח מיד, ולא מסתיר מפחד, כי ככל שמגלים מוקדם יותר, הנזק קטן יותר.

מה עושים כשזה כבר קרה

גם עם כל אמצעי הזהירות, אירוע עלול לקרות. במקרה כזה חשוב לפעול מהר: לנתק את המחשב החשוד מהרשת, להחליף סיסמאות מחשבון נקי, להודיע לבנק אם יש חשש לפגיעה כספית, ולפנות לאיש מקצוע. אם נחשף מידע אישי של לקוחות, ייתכן שיש חובות דיווח לפי דיני הגנת הפרטיות, וכדאי להתייעץ עם עורך דין. הכנה מראש של רשימה קצרה עם הצעדים ואנשי הקשר תחסוך זמן יקר ברגע של לחץ.

לסיכום, אבטחת מידע לעסק קטן לא חייבת להיות יקרה או מסובכת. סיסמאות חזקות עם מנהל סיסמאות, אימות דו-שלבי, ערנות לפישינג, נוהל אימות לשינויי חשבון בנק, גיבויים שנבדקים ועדכונים שוטפים, מכסים את רוב הסיכונים. עסקים שמחזיקים מידע רגיש במיוחד או שאינם בטוחים במצבם כדאי שיתייעצו עם מומחה לאבטחת מידע לבדיקה מסודרת.