אבטחת החשבונות הדיגיטליים של העסק: מדריך בסיסי שכל בעל עסק צריך

בעלי עסקים קטנים נוטים לחשוב שהאקרים מתעניינים רק בבנקים ובחברות ענק. המציאות שונה: עסקים קטנים הם לא פעם מטרה נוחה דווקא בגלל שאין להם מחלקת אבטחת מידע. פריצה לחשבון המייל, השתלטות על עמוד העסק ברשת חברתית או נעילה של האתר יכולים לשתק פעילות במשך ימים, לפגוע במוניטין ולגרום להפסדים כספיים. החדשות הטובות הן שרוב המתקפות הנפוצות מנצלות חולשות בסיסיות, ושאפשר לצמצם את הסיכון משמעותית בכמה צעדים פשוטים שלא דורשים ידע טכני מיוחד.

למה דווקא עסק קטן בסיכון

לעסק קטן יש נכסים דיגיטליים רבים: תיבת מייל שבה עוברות חשבוניות והצעות מחיר, חשבון בנק מקוון, עמודים ברשתות החברתיות, אתר, מערכת ניהול לקוחות ולפעמים גם חנות מקוונת. כל אחד מהם הוא דלת כניסה אפשרית. ברוב המקרים הפורצים לא מכוונים לעסק מסוים, אלא שולחים הודעות פישינג לאלפי כתובות ומחכים שמישהו ייפול בפח.

הנזק יכול להיות מגוון: גניבת כסף באמצעות שינוי פרטי חשבון בנק בחשבונית, פרסום תוכן פוגעני בעמוד העסק, דרישת כופר תמורת שחרור קבצים או פשוט אובדן גישה לחשבון שבנייתו לקחה שנים.

סיסמאות: הבסיס שכולם מזניחים

הטעות הנפוצה ביותר היא שימוש באותה סיסמה בכמה שירותים. כשאתר אחד נפרץ ורשימת הסיסמאות שלו דולפת, הפורצים מנסים אותה סיסמה בכל מקום אחר. לכן לכל שירות חשוב צריכה להיות סיסמה ייחודית, ארוכה וקשה לניחוש.

כדי שלא תצטרכו לזכור עשרות סיסמאות, כדאי להשתמש במנהל סיסמאות. זוהי תוכנה שמייצרת סיסמאות חזקות, שומרת אותן באופן מוצפן וממלאת אותן אוטומטית. אתם צריכים לזכור רק סיסמה ראשית אחת חזקה במיוחד. זה אחד הצעדים המשתלמים ביותר שאפשר לעשות, והוא לוקח פחות משעה להקמה.

אימות דו-שלבי בכל מקום אפשרי

אימות דו-שלבי מוסיף שכבת הגנה נוספת: גם אם מישהו השיג את הסיסמה, הוא יצטרך קוד נוסף שנשלח לטלפון שלכם או שנוצר באפליקציה ייעודית. רוב השירותים החשובים, כמו מייל, רשתות חברתיות, בנקים ומערכות אחסון, מציעים את האפשרות הזאת, ולעיתים קרובות היא כבויה כברירת מחדל.

כדאי להעדיף אפליקציית אימות או מפתח אבטחה פיזי על פני קוד במסרון, שכן מסרונים חשופים יותר להונאות מסוימות. ובשלב ההפעלה, חשוב לשמור את קודי הגיבוי במקום בטוח, כדי שלא תינעלו מחוץ לחשבון אם הטלפון יאבד.

לזהות פישינג לפני שלוחצים

פישינג הוא ניסיון להונות אתכם למסור פרטים או ללחוץ על קישור זדוני, בדרך כלל באמצעות הודעה שנראית כאילו הגיעה מגורם מוכר: הבנק, חברת השליחויות, ספק או אפילו הרשת החברתית עצמה. ההודעות האלה הופכות משוכללות יותר ויותר, לעיתים בעברית תקינה ועם לוגו אמין.

• חשד בכל הודעה שיוצרת תחושת דחיפות או איום
• לבדוק את כתובת השולח המלאה ולא רק את השם המוצג
• לא להזין סיסמה בעמוד שהגעתם אליו מקישור בהודעה
• לאמת בקשות להעברת כסף או לשינוי פרטי בנק בשיחת טלפון למספר מוכר
• לדווח לצוות על הודעות חשודות במקום למחוק בשקט

במיוחד חשוב להיזהר מהודעות שמבקשות לשנות את פרטי חשבון הבנק של ספק. זו אחת השיטות הנפוצות לגניבת כספים מעסקים, והיא נשענת על כך שאיש אינו בודק.

הרשאות ועובדים

בעסק שיש בו כמה עובדים, חשוב לנהל מי ניגש למה. במקום לשתף סיסמה אחת של עמוד העסק עם כולם, עדיף להוסיף כל עובד כמנהל או כעורך עם הרשאות מוגבלות. כך אפשר לראות מי עשה מה, ולהסיר גישה בקלות כשעובד עוזב.

כדאי לבצע פעם ברבעון בדיקה קצרה: מי מחובר לחשבונות, אילו אפליקציות צד שלישי קיבלו הרשאות ואילו משתמשים כבר לא רלוונטיים. וחשוב מאוד שבעל העסק עצמו יהיה תמיד המנהל הראשי של הנכסים המרכזיים, ולא ספק חיצוני או עובד לשעבר.

גיבויים ועדכונים

גיבוי הוא רשת הביטחון למקרה שהכול משתבש. קבצים חשובים, רשימות לקוחות, מסמכים חשבונאיים ותוכן האתר צריכים להיות מגובים באופן קבוע, רצוי אוטומטי, ובמקום נפרד מהמקור. גיבוי שנמצא על אותו מחשב שנפגע לא יעזור.

במקביל, עדכוני תוכנה אינם רק שיפורים קוסמטיים. רבים מהם סוגרים פרצות אבטחה ידועות. מחשבים, טלפונים, נתבים, מערכת האתר ותוספים צריכים להתעדכן באופן שוטף. מכשיר שלא עודכן שנים הוא הזמנה פתוחה לפורצים.

מה עושים כשזה קורה

למרות כל ההגנות, פריצה עלולה לקרות. במקרה כזה כדאי לפעול מהר: לשנות סיסמאות מתוך מכשיר נקי, להפעיל אימות דו-שלבי אם לא היה פעיל, לבדוק אילו שינויים בוצעו בחשבון וליידע לקוחות אם יש חשש שקיבלו הודעות מזויפות בשמכם. אם מדובר בכסף, יש לפנות מיד לבנק.

במקרים מורכבים, או כשנפגע מידע של לקוחות, מומלץ להיעזר באיש מקצוע בתחום אבטחת המידע ולבדוק את החובות המשפטיות של העסק מול עורך דין. תיעוד מסודר של מה שקרה יעזור גם בשחזור וגם במניעת המקרה הבא.

הדרכה קצרה לצוות

גם ההגנות הטכניות הטובות ביותר לא יעזרו אם עובד לוחץ על קישור זדוני או מוסר סיסמה בטלפון למי שמתחזה לנציג תמיכה. לכן כדאי להקדיש פעם בחצי שנה חצי שעה לשיחה עם הצוות על אבטחת מידע: להראות דוגמאות אמיתיות של הודעות פישינג, להסביר את הנהלים הפנימיים ולהבהיר שמותר ורצוי לשאול כשמשהו נראה חשוד. עובד שמרגיש בנוח לדווח על טעות מוקדם יכול לחסוך לעסק נזק גדול בהרבה.

לסיכום, אבטחת מידע בעסק קטן אינה פרויקט טכנולוגי מסובך, אלא אוסף של הרגלים טובים: סיסמאות ייחודיות, אימות דו-שלבי, חשדנות בריאה כלפי הודעות, ניהול הרשאות מסודר וגיבויים קבועים. כמה שעות של התארגנות היום יכולות לחסוך שבועות של כאב ראש וכסף רב מחר.