אבטחת סייבר אינה הדאגה של ארגונים גדולים בלבד. גם עסקים קטנים ובינוניים (SMBs) נמצאים בסיכון למתקפות סייבר, בייחוד מתקפות כופרה (Ransomware) שיכולות להצפין את הנתונים שלכם ולדרוש תשלום כופר בעבור שחזורם ואי פרסומם. במאמר זה, נשתף כמה תובנות ממומחי אבטחת סייבר שיבהירו כיצד עסקים קטנים ובינוניים יכולים להימנע מלהיות קורבנות של מתקפות אלה ושל איומים נוספים ברשת.
תובנות מומחי סייבר בכירים של IPV Security:
1. הערכת חסר של סיכון מתקפות סייבר
עסקים קטנים ובינוניים רבים חושבים שהם קטנים או חסרי חשיבות מכדי להיות יעד לתוקפים, אך זה לא נכון. לעתים קרובות האקרים מנצלים את הפגיעויות של עסקים קטנים ובינוניים כדי לקבל גישה ללקוחות או לשותפים גדולים יותר שלהם, או כדי לגנוב נתונים חשובים או לדרוש תשלומי כופר. על עסקים קטנים ובינוניים להיות מודעים להשפעה הפוטנציאלית של מתקפות סייבר על המוניטין, אמון הלקוחות והרווח שלהם.
2. הסתמכות על תוכנה מיושנת או בעלת פגיעויות
אחד האמצעים הקלים ביותר למניעת מתקפות סייבר הוא לעדכן את התוכנה שלכם באופן קבוע. תוכנה מיושנת עלולה להכיל פרצות אבטחה שאותן האקרים יכולים לנצל כדי לחדור לרשת או למכשירים שלכם. כדאי גם להשתמש בספקים מוכרים ואמינים ולהימנע מהורדה או התקנה של תוכנה ממקורות לא מוכרים. ודאו שיש לכם רשימה מלאה של כל התוכנות והחומרה שלכם ובדקו לעיתים קרובות אם קיימים בהן עדכונים.
3. אי־הכשרת העובדים שלכם למודעות לאבטחת סייבר
העובדים שלכם הם קו ההגנה הראשון שלכם מפני מתקפות סייבר, אבל הם גם יכולים להיות החולייה החלשה ביותר שלכם אם לא יוכשרו כראוי. לעתים קרובות פושעי סייבר משתמשים בדוא"ל פישינג (דיוג), הנדסה חברתית או אתרי אינטרנט מזויפים כדי לתעתע בצוות שלכם ולגרום להם לחשוף מידע רגיש או ללחוץ על קישורים או קבצים מצורפים זדוניים. עליכם להדריך את הצוות שלכם כיצד לזהות ניסיונות אלה ולדווח עליהם ולאכוף מדיניות סיסמאות חזקות ואימות רב־גורמי. כדאי גם ליצור תרבות של מודעות לאבטחת סייבר בארגון שלכם.
4. אי־הכנת גיבוי ותוכנית שחזור
במקרה של מתקפת סייבר, כנראה תיזקקו לתוכנית גיבוי ושחזור כדי למזער את הנזק ולשחזר את הפעילות שלכם בהקדם האפשרי. שיטות הגיבוי משתנות בין יצרן ליצרן, אך אין עוררין על המבנה המקובל בעולם הסייבר של תוכנית גיבוי הכוללת לכל הפחות תצורת 3-2-1
תמיד יהיו 3 סטים של גיבויים עדכניים:
סט אחד יהיה זמין לתפעול תקלות כגון שחזור מהיר של קובץ שנמחק או של שרת שלא מתפקד.
סט שני יהיה בסביבה מבודדת, ולא יהיה מחובר לרשת (Domain) של הארגון.
סט שלישי יהיה מנותק פיזית מהרשת הארגונית, כגון בענן, אצל ספק גיבויים או אפילו בקלטת גיבוי.
מומלץ מאוד לגבות את שירותי הענן שבשימושכם (כגון מיקרוסופט 365), רוב ספקי שירותי הענן לא מתחייבם לבצע גיבוי עבורכם.
אכפו תהליך של הזדהות כפולה עבור גישה לשירותי ושרתי הגיבוי.
5. אי־התאמת התקציב לרמת הסיכון הגדלה
עסקים קטנים ובינוניים זקוקים לתקציב העולה בקנה אחד עם פרופיל הסיכון שלהם ושמתחשב בצרכים שלהם, במידע עסקי חשוב, ובשאלה אם הם מחזיקים בנתונים אישיים רגישים.
לסיכום, מומחי סייבר ממליצים לעסקים להביא בחשבון את סוג הפעילות שלהם ואת התקציב שלהם בעת תכנון אבטחה הסייבר בארגון. עלות אבטחת הסייבר אינה אמורה להיות הוצאה מופרדת מההוצאות האחרות בארגון, אלא הוצאה המשלימה הוצאות תפעוליות אחרות, כמו שיווק ומכירות. בתקציב ההוצאות שלהן, חברות מביאות בחשבון למשל רישיונות, כלים לעובדים וקמפיינים שיווקיים כדי שהעסק יפעל כראוי. באופן דומה, יש להשקיע באבטחת סייבר באופן פרופורציונלי כדי להגן על עבודת העובדים, נתוני הלקוחות והמוצרים של החברה. רמת ההשקעה צריכה להביא בחשבון גם את התעשייה הספציפית שבה פועלת החברה ואת המורכבות של התפעול שלה.
מעוניינים בתובנות נוספות להקטנת סיכונים ועמידה בחוקים ותקנות?
לכל התייעצות בנוגע לאבטחת מידע ניתן לפנות לחברת IPV Security במייל info@ipvsecurity.com או במספר הטלפון 09-7430130. החברה מתמחה זה 19 שנה באבטחת מידע ועוסקת בסקרי סיכונים הנוגעים לביטחון מידע.
