Mnogi podjetniki mislijo, da so hekerji zainteresirani samo za velike korporacije. Resnica je drugačna: napadalci pogosto avtomatsko iščejo kakršnekoli ranljive spletne strani, e-poštne račune in gesla, ne glede na to, komu pripadajo. Majhno podjetje je za napad celo pogosto bolj privlačno, saj je slabše zaščiteno. Dobra novica je, da lahko z nekaj preprostimi navadami tveganje močno zmanjšate.
1. Uporabljajte unikatna in dolga gesla
Najpogostejši vzrok vdorov je še vedno šibko ali večkrat uporabljeno geslo. Če je isto geslo na vaši e-pošti, spletni banki in v spletni trgovini, lahko en sam uhajajoč podatek odpre vsa vrata. Zato za vsako storitev uporabite drugo geslo, ki naj bo dolgo vsaj 14 znakov. Pri tem vam pomaga upravljalnik gesel, ki si jih zapomni namesto vas. Tako vam je treba zapomniti le eno glavno geslo.
2. Vklopite dvostopenjsko preverjanje
Dvostopenjsko preverjanje (2FA) pomeni, da poleg gesla potrebujete še kodo iz aplikacije ali sporočila. Tudi če napadalec izve vaše geslo, brez druge stopnje ne pride noter. Najprej ga vklopite pri e-pošti, spletni banki, računovodskem programu, domenskem registrarju in ponudniku gostovanja. To je najučinkovitejši posamezen ukrep, ki ga lahko naredite v petih minutah.
3. Redno posodabljajte programsko opremo
Zelo veliko vdorov izkoristi ranljivost, za katero popravek že obstaja. To velja za računalnike, telefone, usmerjevalnike in tudi spletne strani. Če imate spletno stran na WordPressu, redno posodabljajte jedro, vtičnike in teme, poskrbite pa tudi, da gostitelj uporablja podprto različico PHP. Zastarela različica je odprta vrata, še posebej ob objavi novih kritičnih ranljivosti. Če ne želite skrbeti sami, to uredite z ponudnikom ali zunanjim vzdrževalcem.
4. Redno ustvarjajte varnostne kopije
Varnostna kopija je zadnja obramba pred izsiljevalskim virusom, okvaro diska ali napako zaposlenega. Velja pravilo 3-2-1: tri kopije podatkov, na dveh različnih medijih, ena izmed njih na drugi lokaciji. Pomembno je tudi, da obnovo občasno preizkusite. Kopija, ki je še nikoli niste poskusili obnoviti, je lahko neuporabna ravno takrat, ko jo najbolj potrebujete.
5. Pazite na lažna sporočila
Ribarjenje (phishing) ostaja najpogostejša pot do vašega računa. Sporočilo se zdi, kot da prihaja od banke, kurirja, davčne uprave ali celo od vašega direktorja, in vas poziva, da kliknete povezavo ali nujno plačate račun. Preden kliknete, preverite pošiljatelja in naslov povezave. Če gre za plačilo ali spremembo transakcijskega računa, vedno pokličite na znano številko. Zaposlene občasno opozorite na primere, ki so bili v zadnjem času aktualni.
6. Omejite dostope
Vsak zaposleni naj ima dostop samo do tistega, kar potrebuje za delo. Skupnih računov se izogibajte, saj ne veste, kdo je kaj naredil. Ko sodelavec ali zunanji izvajalec odide, mu takoj odvzemite dostope do vseh sistemov. Prav tako redno preglejte, kdo ima administratorske pravice na spletni strani, v e-pošti in v oblačnih storitvah.
7. Imejte načrt za primer incidenta
Ne čakajte, da se zgodi napad, da bi razmišljali, kaj storiti. Zapišite si kratek načrt: koga pokličete (ponudnika gostovanja, računovodjo, banko), katera gesla zamenjate najprej in kje so varnostne kopije. Za prijavo kibernetskih incidentov v Sloveniji deluje SI-CERT, ki nudi nasvete in pomoč. Že enostranski načrt skrajša odzivni čas in zmanjša škodo.
Najpogostejše napake, ki jih delajo podjetniki
Prva napaka je prepričanje, da se to ne more zgoditi prav vam. Druga je, da skrb za varnost v celoti prepustijo eni osebi ali ponudniku in je ne preverijo. Tretja je, da varnost vidijo kot strošek, čeprav je škoda po incidentu običajno veliko višja: izguba podatkov, zaustavitev spletne trgovine, kazni zaradi uhajanja osebnih podatkov in izguba zaupanja strank. Če obdelujete osebne podatke, imate poleg tega tudi zakonske obveznosti po splošni uredbi o varstvu podatkov (GDPR), zato je skrb za zaščito tudi vprašanje skladnosti s predpisi.
Koliko to stane?
Večina osnovnih ukrepov je brezplačnih ali zelo poceni. Upravljalnik gesel stane nekaj evrov na mesec, dvostopenjsko preverjanje je brezplačno, varnostne kopije pa so odvisne od količine podatkov, običajno pa gre za nekaj evrov mesečno. Največja naložba je čas, ki ga namenite uvedbi navad, in ta se vam večkrat povrne.
Kje začeti?
Vsega ne boste uredili v enem dnevu, zato začnite z ukrepi, ki prinesejo največ za najmanj truda. Ta teden vklopite dvostopenjsko preverjanje pri najpomembnejših storitvah in preverite, ali ima vaša spletna stran posodobljene vse komponente. Naslednji teden poskrbite za varnostne kopije in gesla. Čez mesec dni se dogovorite še za osnovna pravila v podjetju.
Digitalna varnost ni enkratno opravilo, ampak navada. Podjetja, ki so jo vgradila v vsakdan, so manj izpostavljena napadom in se hitreje opomorejo, če se kaj zgodi. Za ceno nekaj ur dela na leto se izognete težavam, ki bi lahko ustavile poslovanje za več dni.
Opomba: članek je splošen informativni nasvet in ne nadomešča strokovne presoje. Za posamezne tehnične ukrepe se posvetujte s svojim IT-izvajalcem ali ponudnikom gostovanja.