Кибербезопасность для бизнеса: с чего начать защиту

Владелец небольшой компании обычно вспоминает о кибербезопасности в одном из двух случаев: что-то уже случилось — сайт показывает чужую рекламу, бухгалтер перевёл деньги по поддельному письму, уволенный менеджер унёс базу, — или кто-то пришёл продавать «комплексную защиту» за непонятные деньги. В обоих случаях трудно понять, с чего начинать и где граница между разумным минимумом и лишними тратами. Эта статья — дорожная карта для компании без собственного отдела безопасности: что защищать, в каком порядке, что делается силами сотрудников за неделю, а что требует специалиста.

Начните с вопроса «что мы защищаем» и расставьте приоритеты

Защищать «всё» невозможно, а защищать вслепую — дорого. Первый шаг занимает один вечер: выпишите, без чего бизнес остановится или потеряет деньги. Обычно список выглядит примерно так:

• Доменное имя и DNS — потеряв их, вы теряете сайт и почту одновременно.
• Корпоративная почта — через неё восстанавливаются пароли от всего остального.
• Сайт, интернет-магазин, личный кабинет клиентов.
• CRM или учётная система с клиентской базой, ценами и историей сделок.
• Банк-клиент и платёжные сервисы.
• Бухгалтерия, кадровые документы, персональные данные сотрудников.
• Аккаунты в соцсетях, на маркетплейсах и в рекламных кабинетах.
• Рабочие компьютеры и телефоны, с которых всё это открывается.

Напротив каждого пункта запишите две вещи: кто им управляет и что будет, если доступ окажется у чужого человека или данные пропадут. Этот список — основа всех дальнейших решений: он показывает, где ошибка стоит дороже всего.

Когда список готов, у каждого пункта появляются две оценки: насколько вероятна проблема и насколько больно будет, если она случится. Почта, домен и банк обычно оказываются в верхнем правом углу: их пытаются взломать постоянно и автоматически, а последствия затрагивают всё остальное. Рабочий аккаунт в редко используемом сервисе — внизу. Не нужно строить сложные матрицы: достаточно разделить список на «защитить на этой неделе», «в этом месяце» и «когда дойдут руки» — и честно соблюдать порядок, а не начинать с того, что интереснее или о чём недавно писали в новостях. Ниже — план, который подходит большинству небольших компаний именно в таком порядке.

Откуда на самом деле приходят проблемы

Образ хакера, который целенаправленно взламывает именно вашу компанию, для малого бизнеса скорее исключение. Гораздо чаще проблемы приходят буднично:

• Пароль, который сотрудник использовал ещё где-то, утёк вместе с чужой базой и был автоматически проверен на вашей почте или CRM.
• Фишинговое письмо «от банка», «от налоговой» или «от директора» с просьбой срочно оплатить счёт или войти по ссылке.
• Сайт на CMS с плагинами, которые не обновлялись несколько лет, — его взламывают ботами по известной уязвимости.
• Бывший сотрудник или подрядчик, у которого так и остался доступ к админке, хостингу или рекламному кабинету.
• Ошибка настройки: открытая база данных, резервная копия в публичной папке, тестовый аккаунт с паролем 123456.
• Отсутствие резервной копии, из-за которого любая из этих неприятностей превращается из досадной в катастрофическую.

Хорошая новость в том, что от всего перечисленного защищают простые, известные и недорогие меры. Плохая — их нужно действительно сделать, а не обсуждать.

Первая неделя: гигиена, которая закрывает большую часть рисков

• Включите двухфакторную аутентификацию на почте, у регистратора домена, на хостинге, в банке, в CRM и в рекламных кабинетах. Начните с почты — через неё восстанавливается всё остальное.
• Заведите корпоративный менеджер паролей и перенесите туда общие доступы из таблиц, чатов и стикеров. Как это сделать без саботажа, мы подробно описали в статье о паролях сотрудников.
• Проверьте, на кого оформлены домен и хостинг и на чью почту и телефон привязано их восстановление. Нередко это личная почта бывшего подрядчика.
• Убедитесь, что резервные копии сайта, базы и важных документов существуют, хранятся отдельно от основного сервера и из них реально можно восстановиться. Как это настроить — в статье о резервных копиях.
• Отключите доступы всех, кто уже не работает с компанией.
• Включите автоматические обновления операционных систем и браузеров на рабочих компьютерах.

Эти шаги не требуют бюджета и специалиста — только решения руководителя и нескольких часов времени ответственного сотрудника. По соотношению усилий и эффекта ничего лучше в безопасности нет.

Первый месяц: сайт и рабочие системы

Когда базовая гигиена наведена, наступает очередь систем, с которыми работают клиенты. Здесь часть задач уже технические, и их стоит поручить разработчику или подрядчику с конкретным списком.

• HTTPS на всём сайте с редиректом и автопродлением сертификата.
• Обновление CMS, фреймворка и всех зависимостей; удаление неиспользуемых плагинов и модулей.
• Проверка веб-приложения по основным категориям уязвимостей — чек-лист по OWASP даёт понятный список вопросов к разработчикам.
• Второй фактор для всех административных входов, ограничение числа попыток входа.
• Роли и права в CRM и админке: у каждого — только то, что нужно для работы; массовая выгрузка базы — у одного-двух человек.
• Журнал действий: кто входил, кто что менял и выгружал.
• Закрытые снаружи служебные панели, базы данных и файлы конфигурации.

Квартал: процессы и рабочие устройства

Любая настройка со временем расползается: приходят новые люди, появляются новые сервисы, подрядчики меняются. Чтобы через полгода не оказаться в исходной точке, нужны несколько простых регламентов.

• Чек-лист приёма и увольнения сотрудника: какие доступы выдаются, какие отзываются, кто отвечает и в какой срок.
• Правило для подрядчиков: отдельные учётные записи, ограниченные по сроку, и отзыв доступа в день завершения работ.
• Пересмотр прав раз в квартал: руководитель каждого отдела подтверждает список доступов своих людей.
• Короткое обучение сотрудников: как выглядит фишинговое письмо, что делать с подозрительной просьбой об оплате, куда сообщать об инциденте. Правило «любой срочный перевод по письму подтверждается звонком» спасает деньги чаще любых технических средств.
• План на случай инцидента на одной странице: кого звать, что отключать, кого уведомлять, где лежат резервные копии и контакты подрядчиков.

Отдельно — рабочие устройства, о которых забывают чаще всего. Самая защищённая CRM бесполезна, если открывается с ноутбука без пароля, который сотрудник оставил в кафе, или с телефона, на котором стоит всё подряд. Минимальный набор для устройств, с которых работают с данными компании:

• Пароль или биометрия на входе и автоблокировка экрана через несколько минут бездействия.
• Шифрование диска — на современных системах оно встроено и включается в настройках.
• Автоматические обновления системы и браузера.
• Отдельные учётные записи на общих компьютерах; работа не под администратором.
• Возможность удалённо заблокировать и стереть рабочий телефон или ноутбук при потере.
• Гостевая Wi-Fi-сеть для посетителей отдельно от рабочей и сменённый заводской пароль роутера.

Закон и ответственность внутри компании

Почти любая компания обрабатывает персональные данные — клиентов, сотрудников, посетителей сайта, оставивших заявку. Это означает обязанности по 152-ФЗ: документы о порядке обработки, согласия, меры защиты, а в случае утечки — уведомление Роскомнадзора в сжатые сроки. В последние годы ответственность за утечки заметно ужесточили, поэтому «разберёмся, если что-то случится» — плохая стратегия. Что конкретно должен сделать сайт, мы разобрали в отдельной статье о 152-ФЗ. С точки зрения безопасности главный вывод простой: чем меньше лишних данных вы собираете и храните, тем меньше риск и тем проще соблюдать требования.

Самая частая организационная ошибка — когда за безопасность отвечают «все» или «айтишник в свободное время». В небольшой компании не нужен отдельный отдел, но нужен конкретный человек, у которого в обязанностях записано: вести реестр систем и доступов, следить за выполнением регламентов, принимать решения при инциденте. Это может быть операционный директор, офис-менеджер с технической жилкой или внешний подрядчик по сопровождению. Если сайт и системы ведёт подрядчик, его зона ответственности фиксируется в договоре: обновления, резервные копии, мониторинг, сроки реакции на инцидент, передача доступов при расторжении.

Аудит, сканирование и пентест: чем отличаются

• Автоматическое сканирование — быстрый поиск известных уязвимостей и ошибок конфигурации. Дёшево, полезно регулярно, но находит только типовое.
• Аудит безопасности — проверка систем, настроек, процессов и кода по списку требований с отчётом и приоритетами. Показывает общую картину и план работ.
• Тест на проникновение — попытка специалиста реально взломать систему в согласованных рамках. Находит то, что не видно из чек-листов: логические ошибки, цепочки мелких проблем, которые вместе дают доступ.

Логичный порядок для компании, которая только начинает: сначала гигиена силами сотрудников, затем аудит, чтобы понять картину, и только потом — пентест критичных систем. Заказывать пентест, пока не включён второй фактор на почте и нет резервных копий, — переплата за отчёт, который вы и так можете предсказать.

Условный пример: компания из 20 человек

Возьмём условную компанию: сайт с заявками, CRM, интернет-банк, корпоративная почта, два подрядчика — по сайту и по рекламе. В первую неделю руководитель назначает ответственным операционного директора; тот составляет список систем, включает второй фактор на почте и в банке, переносит пароли в менеджер, отзывает доступы трёх бывших сотрудников и выясняет, что домен продлевается с личной карты бывшего маркетолога, — это исправляется в тот же день. В первый месяц подрядчик по сайту обновляет CMS, закрывает админку вторым фактором, настраивает ежедневные копии на внешнее хранилище и проверяет восстановление. В CRM настраиваются роли, выгрузка базы остаётся у двух человек. За квартал появляются чек-листы приёма и увольнения, памятка про фишинг и план на случай инцидента. Ничего из этого не требует дорогих продуктов — только последовательности.

Чего в этом примере удалось избежать — типичных ошибок на старте:

• Купить дорогой продукт «для безопасности» до того, как включён второй фактор на почте и настроены резервные копии.
• Сделать всё один раз и не назначить ответственного — через полгода картина возвращается к исходной.
• Защищать сайт и забыть про домен, почту и рекламные кабинеты, через которые его проще всего отобрать.
• Ввести жёсткие правила, которые мешают работать: сотрудники найдут обходной путь, и он будет хуже исходного положения.
• Держать все ключи у одного человека — и потерять доступ, когда он уходит, болеет или перестаёт отвечать.

Проверьте себя: 10 вопросов

• Знаете ли вы, на кого оформлен домен и куда приходят письма о его продлении?
• Включён ли второй фактор на почте у всех сотрудников?
• Где хранятся общие пароли — в менеджере паролей или в таблице и чате?
• Когда вы последний раз восстанавливались из резервной копии, а не просто проверяли, что она есть?
• Обновлялись ли сайт и его плагины за последний месяц?
• Сколько человек могут выгрузить всю клиентскую базу?
• Есть ли активные доступы у людей, которые уже не работают с вами?
• Знает ли бухгалтер, что делать с письмом «срочно оплатите счёт» от имени директора?
• Кто в компании отвечает за безопасность — по имени?
• Есть ли у вас план действий на случай взлома или утечки?

Вывод

Кибербезопасность небольшой компании — это не покупка дорогого продукта, а последовательность простых шагов: понять, что защищаете, навести гигиену паролей и доступов, обеспечить резервные копии, привести в порядок сайт и рабочие системы и закрепить всё регламентами. Начните с первой недели из этого плана — она закрывает большую часть реальных рисков. Если нужен взгляд со стороны или помощь с технической частью, посмотрите, как мы проводим аудит и защиту систем, или расскажите о вашей ситуации.