Dlaczego akurat te punkty
Małe organizacje rzadko padają ofiarą ataku wymierzonego w nie osobiście. Zdecydowana większość incydentów w tej grupie to kampanie zautomatyzowane: skanery przeszukują internet w poszukiwaniu znanych podatności i znajdują nieaktualną wtyczkę niezależnie od tego, kto jest właścicielem strony i czy ktokolwiek o nim słyszał. Wniosek jest optymistyczny — skoro atak nie jest dopasowany do celu, to obrona też nie musi być wyrafinowana. Wystarczy przestać być łatwym celem. Poniższe punkty uporządkowane są według stosunku efektu do nakładu: pierwsze cztery dają najwięcej i zajmują najmniej czasu.
Konta i dostęp
- Uwierzytelnianie wieloskładnikowe na poczcie. Poczta jest kluczem do wszystkich pozostałych kont, bo przez nią przechodzi resetowanie haseł. Jeśli masz czas tylko na jedną rzecz z tej listy, zrób tę.
- Uwierzytelnianie wieloskładnikowe w panelu strony i w bankowości. Większość systemów zarządzania treścią ma to jako wtyczkę lub funkcję wbudowaną.
- Koniec ze współdzielonymi hasłami. Jedno konto na osobę. Gdy ktoś odchodzi z organizacji, wyłączasz jedno konto zamiast zmieniać hasło znane pięciu osobom.
- Menedżer haseł zamiast pliku, notatnika i pamięci. Darmowe warianty w zupełności wystarczają organizacji liczącej kilka osób.
- Przegląd kont administracyjnych. Wejdź na listę użytkowników panelu i sprawdź, czy rozpoznajesz każdą pozycję. Konta po byłych współpracownikach i po firmie, która robiła stronę trzy lata temu, to najczęstsze znalezisko.
Strona i infrastruktura
- Aktualizacje systemu, motywu i wtyczek. Najczęstsza droga wejścia na stronę małej organizacji to nieaktualna wtyczka z publicznie znaną podatnością. Włącz aktualizacje automatyczne przynajmniej dla poprawek bezpieczeństwa.
- Usuń to, czego nie używasz. Wyłączona wtyczka nadal bywa podatna. Nieużywany motyw też. Kod, którego nie ma, nie może zostać zaatakowany.
- HTTPS na całej witrynie i przekierowanie z wersji nieszyfrowanej. Sprawdź też datę ważności certyfikatu i to, czy odnawia się automatycznie.
- Kopie zapasowe z przetestowanym odtworzeniem. Kopia, której nikt nigdy nie odtworzył, jest założeniem, nie zabezpieczeniem. Odtwórz ją raz na środowisku testowym i zapisz, ile to zajęło.
- Kopia poza tym samym miejscem. Kopia na tym samym serwerze co strona ginie razem z nim. Ransomware szyfruje również dyski sieciowe podpięte do zainfekowanego systemu.
Dane i reakcja
- Wiedz, jakie dane osobowe zbierasz i gdzie leżą. Formularz kontaktowy, lista mailingowa, zapisy na wydarzenia. To podstawa obowiązków wynikających z RODO i pierwsze pytanie, które padnie po incydencie.
- Jednostronicowy plan reakcji. Kto dzwoni do kogo, gdzie są kopie, jak odciąć dostęp, kto informuje osoby, których dane wyciekły. Napisany na spokojnie, nie w trakcie incydentu, kiedy nikt nie myśli jasno.
Nie masz pewności, jak wypadasz?
Fundacja Trenify prowadzi bezpłatną ocenę cyberbezpieczeństwa dla organizacji pozarządowych i startupów — dziesięć pytań, które wskazują poziom ryzyka i obszary wymagające uwagi w pierwszej kolejności. Przejdź do oceny.
Do pobrania jest też bezpłatny poradnik bezpieczeństwa cyfrowego i cyberhigieny w formacie PDF.
Czego na tej liście nie ma
Świadomie pominęliśmy testy penetracyjne, systemy wykrywania włamań, segmentację sieci i polityki bezpieczeństwa w formie dokumentu. Nie dlatego, że są niepotrzebne, ale dlatego, że w organizacji, która nie ma jeszcze uwierzytelniania wieloskładnikowego i przetestowanej kopii zapasowej, są przedwczesne. Kolejność ma znaczenie: dokument opisujący politykę bezpieczeństwa nie zatrzyma przejęcia konta pocztowego, a drugi składnik uwierzytelniania zatrzyma.