W małej firmie bezpieczeństwem często zajmuje się właściciel, osoba od administracji i zewnętrzne IT. Między sprzedażą, fakturami a obsługą klientów łatwo odkładać temat na później. Dobry początek to kilka konkretnych zadań z przypisaną osobą i terminem.
Poniższy plan na 30 dni jest propozycją organizacji pracy. Nie gwarantuje pełnego bezpieczeństwa i nie zastępuje analizy potrzeb firmy. Ma pomóc przejść od ogólnego „musimy się tym zająć” do sprawdzalnych działań.
Tydzień 1: ustal, co chronisz i kto za to odpowiada
Zacznij od listy usług, bez których firma nie może działać. Zwykle znajdą się na niej poczta, księgowość, bankowość, dokumenty, strona internetowa i konta używane do kontaktu z klientami.
Przy każdej zapisz właściciela biznesowego, osobę od administracji technicznej i sposób odzyskania dostępu. Nie wpisuj do tego zestawienia haseł. Celem jest odpowiedź na pytanie, do kogo zwrócić się w razie problemu.
Fikcyjny przykład: właściciel sklepu odkrywa, że konto domeny założył wykonawca, z którym firma już nie współpracuje. To konkretna zależność do uporządkowania. Zakup kolejnego programu ochronnego nie rozwiąże braku dostępu do panelu.
Na koniec tygodnia sprawdźcie konta byłych pracowników, współdzielone loginy i uprawnienia administracyjne. Każdy dostęp powinien mieć uzasadnienie oraz osobę odpowiedzialną za jego utrzymanie.
Tydzień 2: zabezpiecz konta i urządzenia
Z IT ustalcie priorytety dla poczty i kont administracyjnych. Włączcie odpowiednie dodatkowe potwierdzanie logowania, a tam, gdzie to możliwe, rozważcie metody odporne na phishing. Zadbajcie także o unikalne hasła i zatwierdzony sposób ich przechowywania.
CERT Polska wskazuje unikalność haseł, weryfikację dwuetapową i menedżery haseł jako ważne elementy ochrony kont. Poradnik CERT Polska. Różnice między metodami wyjaśniamy w artykule o MFA i passkeys.
Następnie sprawdźcie aktualizacje systemów, przeglądarek i telefonów oraz ochronę urządzeń. Ustalcie, kto pilnuje sprzętu używanego poza biurem. NCSC zaleca aktualizowanie urządzeń i korzystanie z dostępnych zabezpieczeń, m.in. blokady ekranu. Ochrona urządzeń według NCSC.
Wynikiem tygodnia ma być wykonane zadanie, na przykład zabezpieczone konta wskazanej grupy. Sam zakup licencji nie potwierdza, że ochrona została skonfigurowana.
Tydzień 3: sprawdź, czy potrafisz odzyskać dane
Zadaj konkretne pytanie: gdyby dzisiaj zniknął folder z dokumentami klientów, kto i skąd go odtworzy?
Wspólnie z IT wybierzcie niewielki zestaw danych i przeprowadźcie kontrolowaną próbę odzyskania do bezpiecznej lokalizacji. Nie nadpisujcie przy tym plików roboczych. Sprawdźcie kompletność danych i czas potrzebny do powrotu do pracy.
NCSC podkreśla, że trzeba wiedzieć, jak przywrócić kopię, oraz upewnić się, że obejmuje ważne dane. Zwraca też uwagę na ochronę kopii przed utratą lub wpływem złośliwego oprogramowania. Poradnik o kopiach zapasowych.
Nie poprzestawajcie na odpowiedzi „mamy wszystko w chmurze”. Ustalcie, jakie usunięcia i zmiany da się cofnąć, z jakiego okresu i z czyją pomocą. Zakres odzyskiwania zależy od usługi i jej konfiguracji.
Tydzień 4: uprość zgłaszanie i przećwicz reakcję
Każdy pracownik powinien wiedzieć, gdzie zgłosić podejrzany mail, utratę telefonu lub błędnie wysłany dokument. Przygotujcie krótką instrukcję z kontaktem podstawowym i zastępczym. Zachowajcie dostęp do numerów awaryjnych także wtedy, gdy poczta nie działa.
Przeprowadźcie krótką rozmowę na podstawie fikcyjnego zdarzenia: ktoś wpisał służbowe hasło na podejrzanej stronie. Kto odbiera zgłoszenie? Jak kontaktujecie się z IT? Jakie informacje trzeba przekazać? Nie trzeba uruchamiać prawdziwego zagrożenia, żeby sprawdzić te ustalenia.
Pomocny będzie poradnik co zrobić po kliknięciu podejrzanego linku. Dopiero z przygotowaną reakcją warto przejść do pierwszej symulacji phishingu.
Jak sprawdzić, czy miesiąc przyniósł efekt?
Na koniec odpowiedzcie na sześć pytań:
- Czy najważniejsze konta mają wskazanych właścicieli i właściwą ochronę logowania?
- Czy wiadomo, kto aktualizuje urządzenia?
- Czy sprawdzono odzyskiwanie choć jednego ważnego zestawu danych?
- Czy usunięto niepotrzebne dostępy?
- Czy pracownicy znają kanał zgłoszeń i kontakt zastępczy?
- Czy nietypowe prośby o płatność wymagają potwierdzenia?
Jeśli któreś zadanie nie jest gotowe, zapiszcie przyczynę i kolejny termin. Uczciwa lista braków pomaga podjąć decyzję. Sama informacja „szkolenie przeprowadzone” nie pokazuje, czy zmienił się sposób pracy.
Co robić po pierwszych 30 dniach?
Wracajcie do ustaleń przy zatrudnieniu, odejściu pracownika, zmianie telefonu i wdrożeniu nowej usługi. Regularnie przeglądajcie zgłoszenia i poprawiajcie instrukcje, które sprawiają trudność.
SafeLure może wspierać część edukacyjną: kontrolowane wiadomości pomagają omówić reakcje zespołu na próby oszustwa. Najwięcej sensu mają jako element uporządkowanego programu obejmującego również konta, urządzenia, kopie danych i codzienne procedury.
