בסיס אבטחת סייבר לעסק קטן: 10 צעדים שכמעט לא עולים כסף, לפני שקונים שירות

לפני שקונים MDR, SOC או חומת אש חדשה, כדאי לסגור בסיס שעולה בעיקר זמן. הבסיס כולל עשרה צעדים: אימות דו-שלבי בכל מקום שאפשר, עדכונים שוטפים, הרשאות מינימליות, ביטול הרשאות בעזיבה, גיבוי מנותק ששוחזר בפועל, הגנה על הדואר ונוהל לשינוי פרטי תשלום, הפרדת רשתות, סגירת גישה מרחוק פתוחה, הסכמים עם ספקים, ודף חירום אחד. הצעדים האלה סוגרים את הדרכים הנפוצות שבהן עסקים קטנים נפגעים. חלק מהם גם חובה מפורשת בתקנות אבטחת המידע, בכל רמת אבטחה. שירות מנוהל שנבנה על בסיס חלש משלם כל הזמן על כיבוי שריפות.

המדריך הוא חלק מהמדריך לבחירת ספק אבטחה מנוהל. הצעדים מרוכזים גם בצ׳קליסט בסיס האבטחה.

10 הצעדים

הטבלה מקשרת בין הצעדים לתקנות כדי להראות שהם לא ״המלצה בלבד״. היא אינה מיפוי משפטי מלא. ראו המדריך לרמות האבטחה.

פירוט: מה עושים בכל צעד

1. אימות דו-שלבי. התחילו מהדואר של ההנהלה ושל מי שמאשר תשלומים, ומכל גישה מרחוק. אפליקציית אימות או מפתח חומרה עדיפים על SMS. בדקו שאין ״חשבונות ישנים״ שנשארו בלי MFA, כמו תיבה משותפת או חשבון של עובד שעזב.

2. עדכונים. הגדירו עדכונים אוטומטיים בעמדות ובדפדפנים. קבעו חלון חודשי לשרתים, לנתב ולחומת האש. רשמו ציוד שהיצרן הפסיק לתמוך בו ותכננו את החלפתו.

3–4. הרשאות. כתבו טבלה: תפקיד, מערכות, רמת הרשאה. אף אחד לא עובד ביום-יום עם חשבון מנהל. בעזיבה של עובד או ספק, ביטול ההרשאות נעשה באותו יום, וסיסמאות משותפות שהוא ידע מוחלפות.

5. גיבוי. הכלל המקובל: כמה עותקים, על יותר מסוג אחד של אחסון, ולפחות אחד מנותק או בלתי ניתן לשינוי. הכי חשוב: נסו לשחזר. גיבוי שלא שוחזר מעולם הוא הנחה, לא גיבוי.

6. דואר ותשלומים. כתבו נוהל: כל בקשה לשינוי פרטי חשבון בנק של ספק מאומתת בטלפון למספר שכבר שמור אצלכם, לא למספר שבמייל. ראו המדריך להונאות תשלום.

7–8. רשת. רשת אורחים נפרדת. מצלמות ומכשירים חכמים ברשת נפרדת. שום שירות ניהול פתוח לאינטרנט. אם צריך גישה מרחוק, היא עוברת דרך VPN עם MFA.

9. ספקים. רשמו את כל מי שיש לו גישה: ספק IT, ספק תוכנה, רואה חשבון חיצוני, חברת שכר. לכל אחד צריך הסכם שמפרט את מה שתקנה 15 דורשת. ראו סיכוני ספקים.

10. דף חירום. עמוד אחד, מודפס ולא רק במחשב: מי מחליט, טלפונים של ספק ה-IT, של ספק האבטחה, של חברת הביטוח ושל עורך הדין, ומספר 119. ציינו גם מי בודק אם צריך להודיע לרשות להגנת הפרטיות. ראו השעות הראשונות.

דוגמה להמחשה: כמה זמן זה לוקח

משרד עם 18 עובדים וספק IT חיצוני. הערכה להמחשה:

ב-300 ₪ לשעה של ספק IT, להמחשה, זה 7,800 ₪ חד-פעמי, לפני מע״מ. ההסכמים עם הספקים דורשים זמן משפטי נוסף.

איך יודעים שהבסיס עובד

• בדיקה רבעונית קצרה: האם יש חשבונות בלי MFA? עמדות לא מעודכנות? הרשאות של עובדים שעזבו?
• שחזור פעם ברבעון של קובץ או תיקייה, ופעם בשנה של שרת או מערכת שלמה.
• תרגיל שולחן של חצי שעה פעם בשנה: ״הגיע מייל ששינה פרטי בנק״, ״כל הקבצים מוצפנים״. מי עושה מה?

שאלות נפוצות

האם זה מספיק כדי לעמוד בתקנות?

לא בהכרח. התקנות דורשות גם מסמכים: הגדרות מאגר, נוהל אבטחה ומיפוי. ברמה בינונית וגבוהה נדרשים גם תיעוד גישה, ביקורת והדרכה תקופתית. הבסיס כאן הוא התשתית המעשית שהמסמכים מתארים.

מה עושים עם עובדים שמשתמשים במחשב האישי?

קבעו מדיניות: גישה רק דרך שירותי ענן עם MFA, בלי שמירת קבצים מקומית, או מחשב עבודה ייעודי. מחשב פרטי בלי עדכונים הוא סיכון גם לעסק.

מה עם הטלפונים הניידים של העובדים?

אם הטלפון ניגש לדואר או לקבצים של העסק, הוא חלק מהרשת. דרשו לפחות נעילת מסך, עדכוני מערכת ואפשרות למחוק את נתוני העבודה מרחוק אם המכשיר אובד. אם המידע רגיש, שקלו כלי לניהול מכשירים ניידים. תקנה 12 מחייבת להגביל חיבור של התקנים ניידים למערכות המאגר בהתאם לרמת האבטחה ולסיכון.

צריך EDR, או שהאנטי-וירוס המובנה מספיק?

בעסק קטן מאוד, ההגנה המובנה במערכת ההפעלה המודרנית, מעודכנת ומוגדרת נכון, יכולה להיות נקודת התחלה סבירה. EDR נותן יותר נראות ויכולת תגובה, אבל רק אם מישהו מסתכל על ההתראות. ההחלטה תלויה ברמת האבטחה ובמי שיגיב.

מאיפה מתחילים אם אין זמן לכל העשרה?

מ-MFA, גיבוי מנותק ששוחזר, ונוהל אימות לתשלומים. שלושת אלה מכסים חלק גדול מהנזקים הנפוצים.

מקורות

• ויקיטקסט: תקנות הגנת הפרטיות (אבטחת מידע) — תקנות 7–15
• מערך הסייבר הלאומי (gov.il) — המלצות לעסקים קטנים
• הרשות להגנת הפרטיות (gov.il) — הנחיות אבטחת מידע