אבטחת מידע לעסק קטן: סיסמאות, גיבויים ופישינג בלי להיות מומחה סייבר

רבים מבעלי העסקים הקטנים בישראל משוכנעים שהאקרים מתעניינים רק בבנקים, בחברות ענק ובמשרדי ממשלה. בפועל, עסקים קטנים הם לא פעם מטרה נוחה דווקא בגלל שההגנה עליהם חלשה. מתקפת כופרה על מחשב של רואת חשבון, השתלטות על חשבון הרשת החברתית של מסעדה או מייל מזויף שגורם להעברת כסף לחשבון זר, כל אלה אירועים שקורים כל הזמן. החדשות הטובות הן שרוב הנזק אפשר למנוע בצעדים פשוטים, שלא דורשים תקציב גדול או ידע טכני מעמיק.

סיסמאות: הבסיס שרוב העסקים מזניחים

הבעיה הנפוצה ביותר היא שימוש באותה סיסמה בכמה מקומות. כשאתר כלשהו נפרץ ורשימת הסיסמאות שלו דולפת, הפורצים מנסים את אותם פרטים בשירותים אחרים: המייל, הבנק, מערכת הסליקה והרשתות החברתיות. מי שמשתמש בסיסמה אחת לכול, למעשה מוסר את כל המפתחות בבת אחת.

הפתרון המעשי הוא מנהל סיסמאות. מדובר באפליקציה ששומרת את כל הסיסמאות בכספת מוצפנת, מייצרת סיסמאות ארוכות ואקראיות לכל שירות וממלאת אותן אוטומטית. צריך לזכור סיסמה ראשית אחת חזקה בלבד. בעסק עם כמה עובדים, רוב מנהלי הסיסמאות מאפשרים גם לשתף גישה לחשבונות מסוימים בלי לחשוף את הסיסמה עצמה, ולבטל את הגישה כשעובד עוזב.

אימות דו־שלבי בכל מקום שאפשר

אימות דו־שלבי מוסיף שכבת הגנה מעבר לסיסמה: גם אם מישהו השיג אותה, הוא יצטרך גם קוד חד־פעמי מהטלפון שלכם. זו אחת ההגנות האפקטיביות ביותר שקיימות, והיא זמינה כמעט בכל שירות חשוב, מהמייל העסקי ועד חשבונות הפרסום והאחסון.

עדיף להשתמש באפליקציית אימות או במפתח אבטחה פיזי מאשר בקוד שנשלח במסרון, כי מסרונים חשופים יותר להונאות. התחילו מהחשבונות הקריטיים ביותר: תיבת המייל הראשית, שדרכה אפשר לאפס את כל השאר, החשבון של רשם הדומיין, מערכת הנהלת החשבונות והגישה לבנק. ודאו גם ששמרתם במקום בטוח את קודי הגיבוי, למקרה שהטלפון יאבד.

פישינג: המייל שנראה אמיתי לגמרי

רוב הפריצות לא מתחילות בפריצה טכנית מתוחכמת, אלא בהודעה שמשכנעת אדם ללחוץ על קישור או למסור פרטים. מייל שנראה כאילו הגיע מחברת השילוח, מהבנק, מספק קבוע או אפילו מבעל העסק עצמו, ומבקש לעדכן פרטי תשלום בדחיפות. ההונאות האלה הפכו משוכנעות יותר ויותר, עם עברית תקינה ולוגו מדויק.

כמה סימני אזהרה שכדאי ללמד את כל מי שעובד בעסק:

• לחץ זמן חריג ודרישה לפעול מיד
• בקשה לשנות פרטי חשבון בנק של ספק קיים
• כתובת שולח שדומה לכתובת המוכרת אבל שונה באות אחת
• קישור שמוביל לעמוד כניסה שמבקש סיסמה

הכלל החשוב ביותר: כל בקשה לשינוי פרטי תשלום מאמתים בשיחת טלפון למספר המוכר מראש, ולא למספר שמופיע בהודעה עצמה.

גיבויים שבאמת עובדים

מתקפת כופרה מצפינה את הקבצים ודורשת תשלום כדי לשחרר אותם. מי שיש לו גיבוי עדכני ונפרד יכול פשוט לשחזר ולהמשיך לעבוד. מי שאין לו, עומד בפני החלטה קשה. גם תקלה בכונן, גניבת מחשב נייד או מחיקה בטעות מסתיימות אחרת לגמרי כשיש גיבוי.

כלל אצבע מוכר הוא שלושה עותקים של המידע, בשני סוגי אחסון שונים, כשאחד מהם מחוץ למשרד. בפועל, לעסק קטן זה יכול להיות סנכרון לשירות ענן בנוסף לכונן חיצוני שמחובר רק בזמן הגיבוי. והכי חשוב: לבדוק מדי כמה חודשים שאפשר באמת לשחזר קובץ מהגיבוי. גיבוי שלא נבדק הוא הבטחה, לא הגנה.

עדכונים והרשאות

עדכוני תוכנה סוגרים פרצות אבטחה שכבר ידועות לפורצים. מחשב, טלפון או אתר וורדפרס שלא עודכנו זמן רב הם דלת פתוחה. כדאי להפעיל עדכונים אוטומטיים בכל מקום שאפשר, ולהחליף ציוד ישן מאוד שכבר לא מקבל עדכוני אבטחה מהיצרן.

באותו אופן, כדאי לבדוק מי יכול לגשת למה. לא כל עובד צריך הרשאת ניהול לכל מערכת. כשעובד עוזב, יש לבטל מיד את כל הגישות שלו, לשנות סיסמאות משותפות ולוודא שאין חשבונות ישנים פעילים. רשימה פשוטה של כל המערכות ומי מחזיק בהרשאות בכל אחת מהן עושה סדר גדול.

מה עושים כשמשהו כבר קרה

גם עם כל ההגנות, אירוע יכול לקרות. מה שחשוב הוא לא להיכנס לפאניקה ולפעול לפי סדר. מנתקים את המחשב שנפגע מהרשת, משנים סיסמאות מחשבון נקי, מודיעים לבנק אם יש חשש לגניבת כסף ומתעדים את מה שקרה. כדאי לפנות לאיש מקצוע בתחום אבטחת המידע, ובמקרים מסוימים יש גם חובה לדווח לרשויות על דליפת מידע אישי של לקוחות. לגבי החובות החוקיות במקרה כזה, מומלץ להתייעץ עם עורך דין.

מומלץ להכין מראש דף קצר עם מספרי הטלפון החשובים, רשימת המערכות וההוראות הבסיסיות, ולשמור אותו גם מחוץ למחשב. ברגע של לחץ, דף כזה חוסך זמן יקר וטעויות.

רשת אלחוטית ומכשירים במשרד

נקודה שנשכחת לעתים קרובות היא הרשת האלחוטית של העסק. נתב עם סיסמת ברירת המחדל של היצרן, או רשת אחת שמשמשת גם את העובדים וגם את הלקוחות שממתינים בכניסה, חושפים את המחשבים לסיכון מיותר. כדאי להחליף את סיסמת הניהול של הנתב, להפעיל הצפנה עדכנית ולפתוח רשת אורחים נפרדת למבקרים. גם מצלמות אבטחה, מדפסות ומכשירים חכמים אחרים במשרד מחוברים לרשת, ולכן חשוב לשנות גם בהם את סיסמאות ברירת המחדל ולעדכן אותם מדי פעם. מחשבים ניידים שיוצאים מהמשרד צריכים הצפנת דיסק ונעילת מסך אוטומטית, כדי שגניבה של התיק ברכבת לא תהפוך לדליפה של כל תיקי הלקוחות.

לסיכום, אבטחת מידע לעסק קטן היא בעיקר עניין של הרגלים: סיסמאות ייחודיות במנהל סיסמאות, אימות דו־שלבי, ערנות להודעות חשודות, גיבוי בדוק ועדכונים שוטפים. יום עבודה אחד שמוקדש לסידור הדברים האלה יכול לחסוך לעסק נזק של חודשים.