אבטחת מידע לעסק קטן: איך מתגוננים מפני פישינג, פריצות וכופרה
עסקים קטנים הם מטרה נוחה לתוקפים ברשת. הצעדים הבסיסיים שכל עסק יכול ליישם כדי להגן על הלקוחות, על הכסף ועל המוניטין.
בעלי עסקים קטנים נוטים לחשוב שהאקרים מתעניינים רק בבנקים, בחברות ענק ובמשרדי ממשלה. המציאות שונה. דווקא עסקים קטנים, שבדרך כלל אין להם מחלקת מחשוב ואמצעי הגנה מתקדמים, הם מטרה נוחה לתוקפים. הודעת פישינג שנראית כמו חשבונית מספק, סיסמה פשוטה לתיבת הדואר, או מחשב שלא עודכן כבר שנה, יכולים להוביל לגניבת כסף, לדליפת פרטי לקוחות או להשבתה מלאה של העסק. הבשורה הטובה היא שרוב ההתקפות נשענות על טעויות בסיסיות, ושאפשר לצמצם את הסיכון משמעותית בעזרת צעדים פשוטים יחסית וזולים.
פישינג: האיום הנפוץ ביותר
פישינג הוא ניסיון להונות אדם כדי שימסור פרטים רגישים, ילחץ על קישור זדוני או יבצע העברת כסף. ההודעות מתחזות לגורם מוכר: בנק, חברת משלוחים, ספק קבוע, רשות ממשלתית או אפילו מנהל בעסק עצמו. הן נשלחות באימייל, בהודעות טקסט ובאפליקציות מסרים, ולעיתים קרובות יוצרות תחושת דחיפות: ״החשבון שלך ייחסם״, ״יש לשלם מיד״, ״החבילה מחכה לך״.
בעסקים, אחת ההונאות הנפוצות היא התחזות לספק או למנהל, עם בקשה לשנות את פרטי חשבון הבנק להעברת תשלום. ההודעה נראית אמינה, לפעמים נשלחת מתיבה שנפרצה באמת, והכסף מועבר לחשבון של העבריינים. כלל ברזל: כל שינוי בפרטי תשלום מאמתים בשיחת טלפון למספר המוכר מראש, ולא למספר שמופיע בהודעה.
סימנים שכדאי לחשוד בהם הם שגיאות כתיב, כתובת שולח שונה במעט מהמקורית, קישורים שמובילים לכתובת מוזרה, וקבצים מצורפים לא צפויים. במקרה של ספק, לא לוחצים ולא עונים, אלא בודקים מול הגורם בערוץ אחר.
סיסמאות ואימות דו שלבי
סיסמאות חלשות או סיסמה אחת שחוזרת בכל השירותים הן דלת פתוחה לתוקפים. כשאתר כלשהו נפרץ והסיסמאות שלו דולפות, התוקפים מנסים אותן גם בתיבת הדואר, בחשבון הבנק ובמערכות העסק. לכן כל שירות צריך סיסמה ייחודית וחזקה. מנהל סיסמאות הוא כלי שמאפשר ליצור ולשמור סיסמאות כאלה בלי לזכור את כולן.
הצעד המשמעותי ביותר הוא הפעלת אימות דו שלבי בכל מקום שאפשר, ובמיוחד בתיבת הדואר העסקית, בחשבונות הרשתות החברתיות, באתר ובמערכות הכספיות. גם אם הסיסמה נגנבה, התוקף יתקשה להיכנס בלי הקוד הנוסף. עדיף להשתמש באפליקציית אימות על פני הודעות טקסט, כשזה אפשרי.
כשעובד עוזב את העסק, חשוב לבטל מיד את הגישה שלו לכל המערכות ולהחליף סיסמאות משותפות. זו נקודה שרבים שוכחים.
עדכונים, גיבויים וכופרה
מתקפות כופרה מצפינות את הקבצים במחשבי העסק ודורשות תשלום כדי לשחרר אותם. עבור עסק קטן, השבתה כזו יכולה להיות הרסנית. ההגנה הטובה ביותר מפני כופרה היא גיבוי סדיר, שנשמר במקום נפרד מהמחשבים עצמם, למשל בענן ובכונן חיצוני שאינו מחובר כל הזמן. כך, גם אם הקבצים מוצפנו, אפשר לשחזר אותם.
חשוב לבדוק מדי פעם שהגיבוי באמת עובד ושאפשר לשחזר ממנו. גיבוי שלא נבדק עלול להתגלות כחסר ערך בדיוק ברגע שזקוקים לו.
עדכוני תוכנה הם קו הגנה נוסף. רבות מההתקפות מנצלות פרצות ידועות שכבר תוקנו בעדכונים, ופוגעות במי שלא התקין אותם. הפעילו עדכונים אוטומטיים במחשבים, בטלפונים, בנתב ובאתר, והחליפו ציוד ישן שכבר אינו מקבל עדכוני אבטחה.
להגן על פרטי הלקוחות
עסקים שאוספים מידע אישי על לקוחות, כמו שמות, כתובות, פרטי תשלום או מידע רפואי, נושאים באחריות לשמור עליו. בישראל קיימות תקנות להגנת הפרטיות ואבטחת מידע, שמטילות חובות שונות על מי שמחזיק מאגרי מידע, והחובות גדלות ככל שהמידע רגיש יותר. כדאי לבדוק מול יועץ או עורך דין אילו חובות חלות על העסק שלכם.
ברמה המעשית, עיקרון פשוט הוא לאסוף רק את המידע שבאמת נחוץ, לשמור אותו רק כל עוד יש בו צורך, ולהגביל את הגישה אליו רק לעובדים שצריכים אותו. לא כדאי לשמור פרטי כרטיסי אשראי בקבצים או בהודעות, ומומלץ להשתמש במערכות סליקה מוכרות.
דליפת מידע של לקוחות פוגעת לא רק בהם, אלא גם במוניטין של העסק, שקשה מאוד לשקם.
העובדים הם קו ההגנה הראשון
גם האמצעים הטכנולוגיים הטובים ביותר לא יעזרו אם עובד ילחץ על קישור זדוני. לכן הדרכה בסיסית של העובדים היא חלק בלתי נפרד מאבטחת המידע. הנה כמה כללים שכדאי שכל עובד יכיר:
- לא לפתוח קבצים וקישורים מגורמים לא מוכרים או לא צפויים.
- לאמת בטלפון כל בקשה חריגה להעברת כסף או לשינוי פרטים.
- לא לשתף סיסמאות, גם לא עם עמיתים, ולא לרשום אותן על פתקים.
- לנעול את המחשב כשקמים מהעמדה.
- לדווח מיד על כל חשד, גם אם כבר נלחץ קישור, בלי חשש מנזיפה.
הנקודה האחרונה חשובה במיוחד. עובד שחושש להודות בטעות עלול להסתיר אותה, והנזק יגדל. תרבות של דיווח פתוח מאפשרת לעצור תקיפה בשלב מוקדם.
מה עושים כשקורה אירוע
כדאי להכין מראש תוכנית פשוטה למקרה של אירוע סייבר: מי אחראי, למי מתקשרים, ואיך מנתקים מחשב חשוד מהרשת. אם נדמה שבוצעה העברה כספית בעקבות הונאה, יש לפנות לבנק מיד, כי לעיתים ניתן לעצור את ההעברה בזמן קצר. במקרים של פריצה או כופרה, כדאי להיעזר באנשי מקצוע בתחום אבטחת המידע, ולדווח לגורמים הרשמיים הרלוונטיים, כמו מערך הסייבר הלאומי, שמפעיל מוקד לפניות בנושא.
אחרי שהאירוע מסתיים, חשוב ללמוד ממנו: איך התוקפים נכנסו, ומה ניתן לשפר כדי שזה לא יחזור.
לסיכום, אבטחת מידע אינה עניין של חברות גדולות בלבד. עסק קטן יכול להגן על עצמו היטב באמצעות סיסמאות חזקות ואימות דו שלבי, עדכונים וגיבויים סדירים, שמירה זהירה על מידע הלקוחות והדרכת העובדים. השקעה קטנה היום עשויה לחסוך נזק גדול מחר.
