10 najważniejszych zasad bezpieczeństwa dla małych firm

Prowadzisz mały biznes? Musisz pamiętać, że takie firmy są o wiele częściej celem hakerów, niż większe organizacje. Dzieje się tak dlatego, ponieważ niewielkie przedsiębiorstwa stanowią zwykle łatwiejszy cel – nie zawsze przestrzegają zasad bezpieczeństwa lub ich zasady są przestarzałe, za słabe. Ty nie popełniaj tego błędu!

Atak cyberprzestępcy może mieć dla Ciebie poważne konsekwencje – od finansowych, przez prawne, aż po utratę wizerunku. Pomyśl tylko, że w wyniku ataku hakerskiego wyciekły dane Twoich klientów i kontrahentów. Twoja firma zostałaby obciążona karą za nieodpowiednią ochronę danych wynikającą z przepisów RODO, a także na długo straciłaby reputację. Nie możesz sobie na to pozwolić – dla małej firmy taka sytuacja oznacza zwykle upadek.

W dobie koronawirusa ataki na firmy jeszcze bardziej przybrały na sile – przykładowo, w ubiegłym roku badanie przeprowadzone przez rząd Wielkiej Brytanii wykazało, że ponad jedna trzecia mikro i małych firm zgłosiła co najmniej jedno naruszenie lub cyberatak. Ponadto, ponad jedna czwarta (27%) była atakowana przynajmniej raz w tygodniu. Firmy zmagają się nawet z 60 atakami miesięcznie – a to ogromne wyzwanie!

Wydarzenia z minionego roku w połączeniu z coraz bardziej niebezpiecznym krajobrazem cyberbezpieczeństwa sprawiają, że małe firmy nie mogą sobie pozwolić na bycie ofiarą hakerów lub cyberprzestępców. Niezwykle ważne jest, aby właściciele małych firm utrzymywali kontrolę nad swoją cyberodpornością i środkami zapobiegawczymi. Dotyczy to również Twojej firmy!

Na szczęście, specjaliści od bezpieczeństwa w sieci stale pracują nad rozwiązaniami, które pomogą Ci w ochronie Twojej firmy przed internetową przestępczością. Poniżej mamy dla Ciebie przewodnik dla małych firm, zawierający 10 kluczowych zasad bezpieczeństwa pomagających w ochronie firmy przed rosnącymi zagrożeniami.

1. Uważaj na fałszywe maile

Jak złośliwe oprogramowanie najczęściej trafia na służbowe komputery? Odpowiedź jest prosta poprzez e-maile! Sprawdzając służbową pocztę, zachowaj dużą czujność. Jeśli jakaś wiadomość budzi Twój niepokój, nie otwieraj jej, a zwłaszcza nie klikaj w żadne linki i załączniki w niej przesłane. To właśnie w nich zwykle ukrywa się złośliwe oprogramowanie.

Bardzo częstym zjawiskiem są również e-maile phishingowe. W ich przypadku szczególnie łatwo o pomyłkę. Są to wiadomości, w których haker podszywa się pod legalny portal lub firmę, aby nakłonić Cię do kliknięcia w załącznik lub link. Może to być np. informacja o konieczności uregulowania zaległego podatku pod groźbą kary lub informacja o dostępności nowej aktualizacji. Takie wiadomości są często dopracowane pod względem graficznym tak, aby do złudzenia przypominały prawdziwe. Jeśli klikniesz w podesłany link, pobierzesz złośliwe oprogramowanie lub zostaniesz przekierowany na stronę z fałszywym panelem płatności. Jeśli wpiszesz tam swoje dane logowania np. do banku, trafią one prosto w ręce cyberprzestępców.

Co zrobić, jeśli dostałeś podejrzanego maila? Gdy wiadomość budzi Twoje wiadomości, upewnij się, czy jest prawdziwa – zadzwoń do osoby lub firmy, która rzekomo ją wysłała i zapytaj, czy rzeczywiście nadała taką wiadomość. Jeśli Twoje podejrzenia się potwierdzą, możesz zgłosić podejrzanego maila, aby uchronić innych przedsiębiorców przed zagrożeniem. Aby to zrobić, zgłoś niebezpieczną witrynę do NASK na stronie incydent.cert.pl/phishing lub emailem na adres: cert@cert.pl.

2. Nie reaguj na podejrzane SMS-y

Wspomniany powyżej phishing przybiera ostatnio jeszcze inną formę, zwaną smishingiem. Ta odmiana phishingu polega na wysyłaniu fałszywych wiadomości tekstowych poprzez SMS-y lub komunikatory internetowe (np. WhatsApp), aby nakłonić odbiorcę do kliknięcia w link przekierowujący na fałszywą witrynę lub infekujący Twój sprzęt złośliwym oprogramowaniem.

Główny schemat smishingu jest podobny – dostajesz SMS z wezwaniem o zapłatę niskiej kwoty (np. zaległy rachunek, podatek itp.). Przestępca liczy, że potraktujesz to jako błahostkę i klikniesz w przesłany link, aby dokonać opłaty. Panel logowania podany w linku to jednak dzieło hakera, który otrzyma wszystkie Twoje dane, jeśli zdecydujesz się je wpisać.

Niebezpieczeństwo smishingu wiąże się z tym, że SMS-y często czytasz w pośpiechu – np. podczas podróży. W takich sytuacjach Twoja czujność maleje i nie chcąc zapomnieć o sprawie, która wydaje się być drobnostką ze względu na niską kwotę – decydujesz się szybko to załatwić i mieć już z głowy. Pośpiech nie jest jednak dobrym doradcą, gdy korzystasz z bankowości mobilnej – nawet w przypadku małych kwot.

Pamiętaj – SMS-y nie są w żaden sposób bezpieczniejsze, niż e-maile. Wiele osób ma tendencje do ufania SMS-om bardziej, niż mailom – zupełnie niesłusznie. Uzyskanie telefonu komórkowego firmy nie jest trudnym zadaniem – zwykle wystarczy go wyszukać w Google. Każdy więc może spreparować wiarygodnie brzmiąca wiadomość i próbować wyłudzić Twoje dane. Pamiętaj również, że dzisiejsze skrzynki pocztowe są dużo lepiej chronione, niż telefony. Każda przyzwoita usługa e-mail ma inteligentny, wbudowany filtr antyspamowy, jednak filtry operatorów komórkowych dalszym ciągu pozostawiają wiele do życzenia.

3. Zadbaj o hasła

To Twoja podstawowa tarcza przeciwko cyberprzestępcom! Aby hasła spełniały swoją rolę, musisz je tworzyć według kilku zasad:

• Dla każdej usługi twórz silne, unikatowe hasło. Musi się składać minimum z 8 znaków – dużych i małych liter, cyfr i znaków specjalnych.

• Nigdy nie używaj tego samego hasła w kilku witrynach. Jeśli haker wykradnie dane logowania, sprawdzi je również na innych serwisach.

• Nie zamieszczaj w haśle oczywistych informacji – np. nazwy firmy, daty urodzenia, imienia dziecka czy współmałżonka. To takich informacji łatwo dotrzeć, by złamać hasło.

• Nie używaj również haseł będących ciągiem znaków występujących obok siebie na klawiaturze (np. 123qwerty, zxcvbnm, !@#123) – przestępcy już na to wpadli!

• Jeśli okresowo zmieniasz hasła, nie rób tego w schematyczny sposób – np. dodając inną cyfrę lub aktualną datę. To ułatwia pracę hakera.

• Jeśli to możliwe, używaj uwierzytelniania dwuskładnikowego – dzięki niemu każde nowe logowanie będziesz musiał potwierdzić za pomocą kodu wysłanego poprzez SMS, co stanowi dodatkową warstwę zabezpieczenia Twojego konta.

Czytając te wskazówki, możesz poczuć się lekko przerażony – wygląda na to, że będziesz musiał zapamiętać kilkanaście kombinacji typu “IBm19Ii!oH”. Na szczęście, są sposoby, aby sobie z tym poradzić. Możesz skorzystać z metody tworzenia łatwych do zapamiętania haseł, np. hasła frazowe. Jest to zlepek zupełnie nie powiązanych ze sobą słów, np. sarnagruszkaczerwony.

Jeśli w dalszym ciągu zapamiętanie wielu haseł tego typu stanowi dla Ciebie problem, mamy rozwiązanie – skorzystaj z menedżera haseł. Ten program stworzy unikalne hasła za Ciebie i zapamięta je w szyfrowanej bazie danych. Będziesz musiał pamiętać tylko jedno hasło do menedżera, który resztę roboty w zakresie bezpieczeństwa haseł zrobi za Ciebie. Zadbaj tylko, by to jedno hasło było silne i trudne do złamania.

4. Nie zapomnij o backupach

Kopie zapasowe to ogromna pomoc – są łatwe do wykonania, a mogą Ci pomóc w mgnieniu oka, jeśli utracisz dane – nie tylko w przypadku ataku cyberprzestępców, ale też gdy komputer został skradziony lub uszkodzony.

To, czego powinieneś bać się najbardziej, jeśli chodzi o utratę danych, to ransomware. Ten typ złośliwego oprogramowania blokuje dostęp do systemu komputerowego lub uniemożliwia odczyt zapisanych w nim danych, a następnie żąda okupu za odzyskanie ich. W żadnym wypadku nie płać go – przestępcy rzadko dotrzymują słowa, a nawet jeśli otrzymasz swoje dane z powrotem, uznają Cię z łatwy cel i spróbują szczęścia po raz drugi. Dużo lepszą drogą będzie zabezpieczenie się wcześniej za pomocą kopii zapasowych.

Jak tworzyć kopie zapasowe? Najłatwiej i najbezpieczniej powierzyć to zadanie odpowiedniemu programowi, np. Acronis Backup. Dzięki temu, będziesz mieć pewność, że zawsze posiadasz aktualną kopię zapasową wszystkich ważnych danych firmowych w bezpiecznym miejscu. Funkcję backupu posiadają również w swoim pakiecie dobre programy antywirusowe – sprawdź to, wybierając program dla swojej firmy.

5. Zainstaluj dobrego antywirusa

Chociaż systemy Windows 10 i macOS są wyposażone w własne metody zapobiegania złośliwemu oprogramowaniu, nadal zaleca się posiadanie dedykowanego oprogramowania antywirusowego na urządzeniu. Zwiększa to szanse na wykrycie złośliwego oprogramowania, zanim wyrządzi ono szkody na komputerze.

Programy antywirusowe renomowanych firm pracują w czasie rzeczywistym, nie obciążając Twojego urządzenia dzięki technologiom opartym na chmurze. Są w stanie wykryć nawet najnowsze zagrożenia. Chronią przed exploitami, atakami opartymi na skryptach, ransomware, atakami sieciowymi, spamem, botnetami, phishingiem. Zabezpieczają bankowość i płatność online, a także dają możliwość zlokalizowania i monitorowania urządzenia w przypadku jego kradzieży.

Jaki program wybrać? Gdy prowadzisz firmę, nie warto oszczędzać na programie zapewniającym bezpieczeństwo. Zrezygnuj z bezpłatnych wersji, które nie dość, że są zwykle mocno okrojone, to często pochodzą też z trudnych do sprawdzenia źródeł. Wybierz antywirus sprawdzonej marki, np. Kaspersky, Panda, ESET, Bitdefender lub McAfee. Wybierając wersję na kilka stanowisk, ochronisz wszystkie rodzaje firmowych urządzeń za stosunkowo niewielką kwotę – przykładowo roczną wersję programu Panda Dome Complete na 10 stanowisk możesz mieć już za 23 złote miesięcznie!

6. Aktualizuj oprogramowanie

Cyberprzestępcy godzinami szukają luk w zabezpieczeniach w najpopularniejszym, powszechnie używanym oprogramowaniu – np. systemowym. Luki pozwalają hakerom atakować i infekować systemy komputerowe oraz kraść lub szyfrować poufne dane. Antidotum na takie działania są aktualizacje, które usuwają luki i zapewniają firmowemu sprzętowi bezpieczeństwo.

Pamiętaj, aby zaktualizować swoje urządzenie, gdy tylko ulepszenie się pojawi. Nie odkładaj instalacji na później – wiele firm uniknęłoby ataków, gdyby było na bieżąco z aktualizacjami oprogramowania. Przykładowo, w maju 2017 roku firma Equifax, zajmująca się raportami kredytowymi, została zaatakowana przez hakerów. Doszło do kradzieży danych osobowych około 140 milionów klientów firmy. Tymczasem, aktualizacja niwelująca lukę, która umożliwiła atak, pojawiła się już w marcu 2017 – czyli 2 miesiące wcześniej!

Aktualizacje nie tylko niwelują problemy z bezpieczeństwem – mają za zadanie również naprawiać błędy oprogramowania, dodawać lub ulepszać funkcję, a także umożliwiać kompatybilność z innymi programami lub urządzeniami. Warto więc być na bieżąco i mieć pewność, że wszystko działa tak, jak powinno.

7. Stosuj VPN

VPN, czyli wirtualna sieć prywatna, szyfruje cały ruch wychodzący i wchodzący na Twoje urządzenia. Jeśli komuś uda się w jakiś sposób przechwycić Twoje informacje, jedyne, co będzie miał, to zaszyfrowane dane. Aby zapewnić danym bezpieczeństwo, warto uczynić korzystanie z VPN jednym ze standardów pracy w Twojej firmie.

Wybierając VPN, postaw na sprawdzonego dostawcę. Nie każda usługa VPN jest tak samo skuteczna. Unikaj zwłaszcza darmowych rozwiązań, których bezpieczeństwo jest wątpliwe. Mogą one również znacznie spowolnić firmowe komputery. My polecamy VPN, który zapewni Ci szyfrowanie na poziomie bankowości internetowej. Funkcję VPN w ograniczonej wersji ma również w pakiecie wiele programów antywirusowych – możesz z nich korzystać, jeśli zamierzasz używać VPN sporadycznie.

8. Pobieraj oprogramowanie tylko ze sprawdzonych źródeł

Wirusy i inne złośliwe oprogramowanie mogą trafić na firmowy komputer również podczas pobierania różnego rodzaju aplikacji i programów z niesprawdzonych źródeł. Jak temu zapobiec?

Dobrym sposobem, aby zmniejszyć ryzyko infekcji złośliwym oprogramowaniem jest sporządzenie zatwierdzonej listy aplikacji, programów i lokalizacji, z których Twoi pracownicy mogą korzystać. W ten sposób upewnisz się, że personel wie, gdzie uzyskać zatwierdzone programy. Oczywiście nie jest to nieomylna metoda zapobiegania, jednak uchroni Twoją firmę przed wieloma ryzykownymi sytuacjami.

9. Uważaj na urządzenia zewnętrzne

Pamięci USB są bardzo wygodne – małe, łatwe do przenoszenia i stosunkowo tanie – nic więc dziwnego, że są tak często używane, również podczas pracy firmowej. Niestety, wraz z popularnością pendrive’ów powstało wiele złośliwych programów specjalizujących się w atakowaniu komputerów przez USB. Wystarczy, że włożysz urządzenie z wirusem do portu USB, aby doszło do infekcji. Jak się przed tym bronić?

Po pierwsze, możesz wyłączyć funkcję autorun, czyli autoodtwarzania dla pamięci USB. To właśnie ona najczęściej umożliwia wirusom atak, gdy tylko podepniesz urządzenie. Wyłączenie funkcji autorun znacznie zmniejsza więc możliwość zakażenia.

Po drugie, dobrą praktyką jest używanie programu antywirusowego z funkcją sprawdzania pendrive’a. Taki antywirus zatrzyma pojawienie się pamięci USB w systemie do momentu, aż sprawdzi, czy jej zawartość jest bezpieczna.

Po trzecie, zachowaj zdrowy rozsądek. Bacznie sprawdzaj, skąd pochodzi urządzenie, które chcesz podłączyć do komputera. Nigdy nie korzystaj z urządzeń znalezionych np. w parku czy w windzie. Podrzucanie zainfekowanych pendrive’ów w różnych miejscach (np. na terenie firm) to częsta praktyka, bazująca na naiwności pracowników, którzy bez zastanowienia sprawdzają zawartość znalezionego urządzenia.

10. Przeszkól pracowników

Nawet najlepsze zabezpieczenia zawiodą, jeśli nie docenisz znaczenia jednego elementu – czynnika ludzkiego. Twoi pracownicy muszą mieć jasno określone zasady bezpieczeństwa panujące w firmie, a Twoim zadaniem jest sprawdzić, czy je znają i przestrzegają ich.

Jak to zrobić? Na wstępie zapewnij im odpowiednie szkolenia. Wiedza pracowników to podstawa. Jeśli nie czujesz się kompetentny, by przeprowadzić szkolenie, skorzystaj z wiedzy specjalistów – ich doświadczenie pomoże Wam zabezpieczyć firmowe dane. Następnie dobrze jest przeprowadzić testy, które sprawdzą wiedzę i umiejętności Twoich pracowników. Możesz również wprowadzić różne formy zachęty – takie jak nagrody dla pracowników, którzy znajdą sposoby na poprawę cyberbezpieczeństwa w biurze, np. poprzez zgłaszanie wiadomości phishingowych.

Jak widzisz, istnieje wiele sposobów, które pomogą Ci chronić dane firmy przed atakami. Ich przestrzeganie zminimalizuje ryzyko stanie się ofiarą hakerów.  Czasami jednak katastrofa może spotkać Twoją firmę pomimo najlepszych starań. Co zrobić w takiej sytuacji?

W przypadku małej firmy, ważne jest, aby zareagować tak szybko, jak to możliwe i zasięgnąć zasobów, porad i wskazówek od odpowiednich władz. Istnieje wiele zasobów, z których można skorzystać, aby uzyskać wsparcie, w tym Krajowy system cyberbezpieczeństwa, który może zapewnić bezpłatną pomoc ekspertów. Jeśli wyciek dotyczy danych bankowych, jak najszybciej skontaktuj się ze swoim bankiem. Bank może zablokować Twoją kartę, zmienić hasła i doradzić, co zrobić dalej.