Основы ИТ-безопасности

Дайте каждому человеку уникальные пароли и менеджер паролей

Самая вредная привычка в небольшом офисе — это использование одного пароля для электронной почты, бухгалтерского учета и банковских операций. Когда происходит утечка данных на каком-либо сайте, злоумышленники в течение нескольких часов пробуют один и тот же пароль везде. Решение не в трюках с памятью — это менеджер паролей на каждом столе и телефоне, поэтому каждая учетная запись получает длинный уникальный пароль, который никому не придется запоминать.

Прорабатывайте учетные записи в том порядке, который имеет значение: сначала электронная почта, затем банковские операции, пакет бухгалтерского учета и любые панели администратора. Никогда не храните пароли офиса в общей таблице или записной книжке.

Включите MFA во всех учетных записях, которые его предлагают

Многофакторная аутентификация означает, что одного украденного пароля уже недостаточно. Злоумышленник в другой стране, у которого есть ваш пароль, все равно не сможет войти без кода с вашего телефона. Microsoft и Google уже много лет сообщают, что MFA блокирует подавляющее большинство автоматических атак с целью захвата учетных записей.

Будьте честны с персоналом относительно стоимости: MFA добавляет около десяти секунд при входе в систему. Это самая дешевая ценная бумага, которую когда-либо купит офис.

Устанавливайте обновления по расписанию, а не по прихоти

Большинство атак программ-вымогателей и червей происходят из-за уязвимостей, исправленных неделями ранее. Пострадавшие офисы — это те, в которых Центр обновления Windows показывает предупреждение в течение нескольких месяцев. Вместо этого установите простую дисциплину: обновления устанавливаются автоматически, машины перезагружаются не реже одного раза в неделю, а один назначенный человек ежемесячно проверяет статус обновлений.

То же правило распространяется на маршрутизатор, NAS, браузеры и бухгалтерское программное обеспечение, а не только на Windows.

Включить уже включенную защиту Windows

Брандмауэр, антивирус и базовые параметры конечных точек уже установлены в здании — им нужно только быть включенными и работоспособными. Откройте Безопасность Windows и проверьте каждый раздел: Защита от вирусов и угроз (Защитник Microsoft) должна сказать «Действия не требуются», Брандмауэр и защита сети должны быть включены для всех профилей, а BitLocker должен быть включен в поддерживаемых выпусках, чтобы украденный ноутбук не передал свой диск.

Платные инструменты для конечных точек добавляют централизованное управление, отчетность и дополнительные уровни, которые занимают свое место по мере роста офиса или когда этого требует клиентский контракт. Они приходят после этих основ, а не раньше.

Сохраняйте резервные копии и подтверждайте их с помощью тестового восстановления

Резервная копия, которую вы так и не восстановили, — это надежда, а не резервная копия. Диски выходят из строя незаметно, задания резервного копирования перестают выполняться, а программы-вымогатели намеренно охотятся за резервными копиями. Храните хотя бы одну копию в автономном режиме или за пределами сайта, где ее не сможет заразить сетевая инфекция.

Затем докажите, что вся цепочка работает: раз в квартал восстанавливайте из резервной копии несколько реальных файлов и открывайте их. Тест восстановления — это контроль: если вы возьмете одну идею из всего этого руководства, возьмите ее.

Предоставьте людям только тот доступ, который необходим им для работы

Наименьшие привилегии звучат технически; на самом деле это просто аккуратная уборка. Приемному компьютеру не требуется пароль администратора сервера. Повседневная работа должна происходить из стандартных учетных записей, при этом права администратора сохраняются в отдельной учетной записи, которая используется только при установке или изменении чего-либо.

Когда кто-то уходит, в тот же день отключите его учетные записи — электронную почту, вход на компьютер, учетную запись и все остальное. Сотрудник, уволившийся в марте, не должен иметь работающий логин в октябре, а отзыв, который ждет удобного момента, обычно ждет вечно.

Транть в правильном порядке: сначала бесплатные слои

Честная оценка: большая часть этого списка ничего не стоит. Защитник Windows, брандмауэр Windows, автоматические обновления, BitLocker в поддерживаемых выпусках и MFA в существующих учетных записях уже находятся в разработке. Первыми реальными расходами обычно являются подписка на менеджер паролей для команды и резервная копия за пределами офиса или в автономном режиме — скромные суммы. Платная защита конечных точек предоставляется только после сохранения основных функций или когда этого требует клиентский контракт.