Кибербезопасность для малого бизнеса: с чего начать

Короткий ответ

Малому бизнесу не нужен отдел безопасности, чтобы закрыть большинство типичных угроз. Атаки на небольшие компании обычно простые: украденный пароль, фишинговое письмо, незакрытая уязвимость, потерянный ноутбук. Против них работает базовая гигиена, выполненная последовательно.

Порядок действий:

1. Инвентаризация аккаунтов — понять, что вообще нужно защищать.
2. 2FA везде, начиная с почты.
3. Автообновления на всех устройствах и сервисах.
4. Бэкапы, которые вы хотя бы раз восстанавливали.
5. Отзыв доступов при уходе сотрудника.
6. Защита устройств: шифрование, блокировка экрана, удаленное стирание.

Шаг 1. Инвентаризация аккаунтов

Нельзя защитить то, о чем вы не знаете. Заведите одну таблицу и внесите туда все сервисы компании: почта, домен и DNS, хостинг, CRM, бухгалтерия, банк-клиент, соцсети, Telegram-каналы, рекламные кабинеты, облачные диски.

Для каждого сервиса укажите:

• кто владелец аккаунта (человек, а не «все»);
• на какую почту и телефон он зарегистрирован;
• кто еще имеет доступ;
• включена ли 2FA.

Частая находка на этом шаге — домен или рекламный кабинет, оформленный на личную почту бывшего сотрудника или подрядчика. Перенесите такие аккаунты на корпоративную почту в первую очередь.

Шаг 2. 2FA везде

Двухфакторная аутентификация — самая эффективная мера на единицу усилий. Даже если пароль утек, без второго фактора войти нельзя.

• Начните с почты: через нее восстанавливаются пароли от всего остального.
• Дальше — домен, хостинг, банк, CRM, соцсети.
• Используйте приложение-аутентификатор или аппаратный ключ, SMS оставьте только там, где нет выбора.
• Сохраните резервные коды в защищенном месте.

Вместе с 2FA внедрите менеджер паролей (Bitwarden, 1Password или аналог). Он решает проблему одинаковых паролей и позволяет делиться доступами без пересылки паролей в мессенджере.

Шаг 3. Обновления

Многие взломы используют давно известные уязвимости, для которых уже есть патчи.

• Включите автообновления ОС, браузеров и офисных программ.
• Обновляйте CMS сайта и ее плагины, удаляйте неиспользуемые.
• Замените роутеры и устройства, которые больше не получают обновлений.

Шаг 4. Бэкапы

Бэкап — защита от шифровальщика, ошибки сотрудника и сбоя диска одновременно. Следуйте правилу 3-2-1: три копии, два разных носителя, одна копия вне офиса.

Важно: хотя бы одна копия должна быть недоступна для изменения с рабочих компьютеров, иначе шифровальщик зашифрует и ее. И главное — раз в квартал проверяйте восстановление. Бэкап, который ни разу не восстанавливали, — это надежда, а не бэкап.

Шаг 5. Отзыв доступов

Уход сотрудника — момент, когда доступы чаще всего «зависают». Сделайте короткий чек-лист увольнения:

• отключить корпоративную почту и SSO;
• забрать доступы из таблицы шага 1;
• сменить общие пароли, которые он знал;
• вернуть ноутбук и телефон или стереть с них данные компании;
• передать владение файлами и каналами.

Если вы используете Google Workspace или Microsoft 365 как единый вход, отключение одного аккаунта закрывает сразу много сервисов.

Шаг 6. Защита устройств

• Шифрование диска (BitLocker, FileVault, встроенное на смартфонах).
• Блокировка экрана с PIN или биометрией.
• Включенная функция поиска и удаленного стирания устройства.
• Встроенный антивирус ОС включен и обновляется.
• Сотрудники работают без прав администратора.

Кто за что отвечает

Отдельно назначьте одного человека, к которому сотрудники приходят с вопросом «мне пришло странное письмо». Это дешевле любой технологии.

Частые ошибки

• Покупать дорогие решения до того, как закрыта базовая гигиена.
• Один общий пароль на всю команду.
• Бэкап на диске, постоянно подключенном к тому же компьютеру.
• Отсутствие ответственного: «безопасностью занимаются все» значит «никто».