В офисе на пятнадцать рабочих мест обычно нет специалиста по информационной безопасности. Есть приходящий системный администратор, общий пароль от Wi-Fi на стикере у принтера и бухгалтер, который открывает каждое письмо со словом «счёт» в теме. Злоумышленникам не нужно взламывать такую компанию изощрённо: достаточно дождаться, когда кто-то сам впустит их внутрь. Хорошая новость в том, что большая часть рисков закрывается не дорогими системами, а дисциплиной и несколькими настройками, которые занимают пару рабочих дней.
Почему маленькая компания интересна мошенникам
Распространённое заблуждение звучит так: мы слишком мелкие, чтобы нас атаковали. На практике всё наоборот. Крупный банк защищён многослойно, а небольшая дизайн-студия на Таганке или сервисный центр в Медведкове — нет. Массовые атаки работают как сеть: рассылка уходит тысячам адресов, и улов составляют те, кто не успел подумать.
Чаще всего малый бизнес сталкивается с тремя сценариями. Первый — подмена платёжных реквизитов: бухгалтер получает письмо, похожее на письмо постоянного поставщика, с просьбой оплатить по новым реквизитам. Второй — шифровальщик: файлы на компьютерах и сетевом диске превращаются в нечитаемый набор байтов, а за ключ требуют выкуп. Третий — захват аккаунтов: почты, мессенджера, кабинета на маркетплейсе или в банк-клиенте.
Ущерб при этом измеряется не только деньгами. Остановка работы на неделю, потерянная клиентская база, неловкие объяснения перед заказчиками, чьи данные утекли, — для компании из десяти сотрудников это может оказаться серьёзнее, чем прямой финансовый убыток.
Безопасность маленького офиса держится не на технологиях, а на привычках: дорогой антивирус не спасёт, если пароль от почты записан на мониторе.
Пароли и вход: начать с самого простого
Если внедрять только одну меру, пусть это будет двухфакторная аутентификация. Почта, облачное хранилище, бухгалтерская программа, банк-клиент, рабочие мессенджеры, кабинеты на площадках — везде, где есть второй фактор, его стоит включить. Код из приложения-аутентификатора надёжнее кода из СМС, но даже СМС лучше, чем ничего.
Второй шаг — уйти от общих паролей. В небольших командах часто один логин от почты info на всех, один пароль от кабинета поставщика, один от сайта. Когда сотрудник увольняется, никто не меняет пароли, потому что непонятно, кого это затронет. Правильнее завести каждому свою учётную запись там, где это возможно, а общие доступы хранить в корпоративном менеджере паролей с разграничением прав.
Менеджер паролей решает сразу несколько задач. Он генерирует длинные уникальные пароли, избавляет от стикеров и таблиц в общем доступе, а при увольнении позволяет одним действием отозвать доступ ко всем общим ресурсам. Для команды до двадцати сотрудников такие решения стоят как пара бизнес-ланчей на сотрудника в месяц.
Несколько правил, которые стоит закрепить письменно:
- уникальный пароль для каждого сервиса, не короче двенадцати символов;
- двухфакторная аутентификация на почте, в облаке, банке и мессенджерах;
- личные аккаунты отделены от рабочих, рабочая почта не используется для регистрации в развлекательных сервисах;
- при увольнении сотрудника в тот же день отключаются его учётные записи и меняются общие пароли, которые он знал;
- пароль никогда не пересылается в мессенджере открытым текстом.
Почта как главная дверь
Подавляющая часть инцидентов в малом бизнесе начинается с письма. Фишинг стал аккуратным: нет больше кривого перевода и подозрительных картинок. Письмо может прийти от «налоговой», «банка», «курьерской службы» или даже от коллеги, чей ящик уже взломан. Внутри — ссылка на «документ» или архив с «актом сверки».
Инженер сервисной компании, обслуживающей несколько десятков небольших офисов, описывает типичную картину так: сотрудник открывает вложение, видит пустой документ, пожимает плечами и продолжает работать. Через три дня злоумышленник уже читает переписку с контрагентами и ждёт подходящего момента для подмены реквизитов.
Технически почту защищают фильтры и правильная настройка домена. Если у компании свой домен, администратору стоит проверить записи SPF, DKIM и DMARC: они затрудняют рассылку писем от имени вашей компании и помогают почтовым сервисам отсекать подделки. Это разовая работа на час, но многие офисы годами живут без неё.
Организационно всё ещё проще. Любое изменение платёжных реквизитов подтверждается звонком на заранее известный номер, а не на номер из письма. Архивы с паролем и файлы с макросами от незнакомых отправителей не открываются. Сомнительное письмо пересылается ответственному, а не удаляется молча: если одно такое письмо пришло, скорее всего, пришли и другие.
Резервные копии: страховка, которая работает
Шифровальщик опасен тем, что делает бесполезными не только рабочие файлы, но и копии, если они лежат рядом. Внешний диск, постоянно подключённый к компьютеру бухгалтера, сетевая папка с бэкапами, синхронизированная облачная папка — всё это шифруется вместе с оригиналами.
Классическое правило резервного копирования формулируется через три числа: три копии данных, на двух разных носителях, одна из которых хранится вне офиса. Для небольшой компании это может выглядеть так: рабочие файлы на сервере или в облаке, ежедневная копия на отдельное хранилище, еженедельная копия в облачный сервис с версионированием или на диск, который отключается и уносится.
Важно не только делать копии, но и проверять их. Неприятно обнаружить в день аварии, что резервное копирование перестало работать полгода назад, потому что закончилось место. Раз в квартал стоит устраивать маленькое учение: восстановить случайную папку из бэкапа и убедиться, что файлы открываются.
Отдельная тема — облачные сервисы. Многие уверены, что если документы лежат в облаке, о сохранности можно не думать. Но облако синхронизирует и удаления, и зашифрованные версии. Нужно убедиться, что у сервиса включена история версий и корзина хранится достаточно долго, а лучше — иметь независимую копию.
Резервная копия, которую ни разу не восстанавливали, — это не страховка, а надежда.
Компьютеры, Wi-Fi и всё, что подключено к сети
Устаревшая операционная система и неустановленные обновления — открытая форточка. Большинство массовых атак используют уязвимости, для которых исправления давно выпущены. Включить автоматические обновления на всех рабочих машинах — бесплатная мера, которая отсекает огромную долю угроз.
Права администратора на рабочих компьютерах должны быть только у администратора. Когда сотрудник работает под учётной записью с полными правами, любая вредоносная программа получает те же права. Да, иногда это неудобно: нельзя самостоятельно поставить нужную утилиту. Но лучше потратить пять минут на запрос, чем неделю на восстановление.
Офисный Wi-Fi стоит разделить минимум на две сети. Одна для сотрудников и рабочих устройств, вторая, гостевая, для посетителей, курьеров и личных телефонов. Гостевая сеть не должна видеть принтеры, сетевые хранилища и камеры. Пароль от гостевой сети можно менять раз в месяц и не жалеть.
Часто забывают про устройства, которые вроде бы не компьютеры: сетевой принтер, видеорегистратор, умная розетка, роутер. У многих из них остаются заводские пароли, а прошивка не обновлялась с момента покупки. Стоит хотя бы один раз пройтись по офису с блокнотом и составить список всего, что подключено к сети, а затем сменить стандартные пароли.
Ноутбуки, которые сотрудники уносят домой, требуют отдельного внимания. Шифрование диска встроено в современные операционные системы и включается за несколько минут. Если ноутбук забудут в такси или в кафе у Чистых прудов, данные на нём останутся недоступны постороннему.
Люди: обучение без занудства
Можно настроить всё идеально, но один клик сотрудника по ссылке сведёт усилия на нет. Поэтому обучение — не формальность. Важно, чтобы оно было коротким, регулярным и привязанным к реальной работе. Часовая лекция раз в год забывается через неделю, а пятиминутный разбор настоящего подозрительного письма на планёрке запоминается надолго.
Владелица небольшого рекламного агентства рассказывает, что ввела простое правило: за пересланное подозрительное письмо никто никогда не ругает, даже если оно оказалось безобидным. Зато если сотрудник открыл вложение и почувствовал неладное, он обязан сразу сказать об этом, и его тоже не ругают. Страх наказания заставляет молчать, а молчание даёт злоумышленнику время.
Стоит объяснить коллегам и признаки социальной инженерии по телефону. Звонок от «службы безопасности банка», «техподдержки провайдера» или «нового сотрудника головного офиса», который срочно просит код из СМС или доступ к компьютеру, — повод положить трубку и перезвонить по официальному номеру. Срочность и давление — главные инструменты мошенника.
Полезно завести короткую памятку на одну страницу, которую получает каждый новый сотрудник в первый день. В ней — к кому обращаться при подозрении на инцидент, как выглядит правильная процедура смены реквизитов, какие сервисы разрешены для работы с документами клиентов.
Если что-то уже случилось
Даже при хорошей подготовке инцидент возможен. Важно заранее знать, что делать, чтобы в панике не наделать ошибок. План реагирования для маленького офиса умещается на листе бумаги.
Если есть подозрение на заражение компьютера, его нужно отключить от сети: выдернуть кабель, выключить Wi-Fi. Выключать питание не всегда правильно — иногда специалисту полезно посмотреть, что происходит в памяти, но изолировать машину нужно немедленно. Затем — позвонить администратору или подрядчику, который обслуживает офис.
Если взломан почтовый ящик, нужно сменить пароль, завершить все активные сессии, проверить правила пересылки (злоумышленники часто настраивают тихую пересылку всех писем на свой адрес) и предупредить контрагентов, что от вашего имени могли приходить мошеннические письма. Если ушли деньги по подменённым реквизитам, звонить в банк нужно сразу: иногда платёж удаётся остановить, если счёт к нему не успели обналичить.
Отдельный вопрос — персональные данные клиентов. Если они утекли, у компании возникают обязанности по уведомлению, и лучше заранее выяснить у юриста, как действовать. Это неприятно, но попытка скрыть утечку обычно обходится дороже.
С чего начать на этой неделе
Безопасность пугает тем, что кажется бесконечной. Но для малого офиса достаточно последовательно пройти короткий список и потом поддерживать порядок. Вот минимальный план, который реально выполнить за несколько дней:
- включить двухфакторную аутентификацию на почте, в облаке, банке и мессенджерах всех сотрудников;
- завести менеджер паролей и перенести туда общие доступы;
- настроить автоматические обновления и убрать права администратора у рядовых пользователей;
- разделить офисный Wi-Fi на рабочую и гостевую сети, сменить заводские пароли на роутере и принтерах;
- организовать резервное копирование с одной копией вне офиса и проверить восстановление;
- ввести правило подтверждения смены реквизитов звонком;
- написать памятку на одну страницу и обсудить её на общей встрече.
Ни один из этих пунктов не требует больших денег. Требуется только решение, что безопасность — это часть нормальной работы, как бухгалтерия или уборка, а не разовая кампания после неприятного случая. Компании, которые однажды потеряли базу клиентов или заплатили мошенникам, обычно наводят порядок очень быстро. Разумнее сделать это до того, как придётся учиться на собственном опыте.
Раз в полгода стоит возвращаться к списку и проверять, не появились ли новые сервисы без второго фактора, не завелись ли снова общие пароли в чате и работает ли резервное копирование. Такой аудит занимает пару часов и превращает разовое усилие в устойчивую привычку — а именно привычки в итоге и защищают маленький офис лучше любой программы.
