Ko pomislimo na kibernetske napade, si večina ljudi predstavlja hekerje, ki vdirajo v sisteme bank ali vladnih ustanov. Realnost je drugačna. Mala podjetja so med najpogostejšimi tarčami napadov, in sicer ravno zato, ker nimajo namenskih varnostnih ekip. Napadalci iščejo najlažjo pot — in podjetje s petimi zaposlenimi, ki uporablja enaka gesla za vse storitve, je lažja tarča kot korporacija z varnostnim oddelkom.
Zakaj so mala podjetja privlačna tarča
Razlog je preprost: razmerje med trudom in pričakovano koristjo. Napadalci ne ciljajo posameznega malega podjetja poimensko. Uporabljajo avtomatizirane napade, ki preizkušajo tisoče podjetij hkrati. Kdor ima šibko geslo, nezaščiteno e-pošto ali zastarelo programsko opremo, pade skozi sito.
Posledice napada za malo podjetje so nesorazmerno hujše kot za veliko korporacijo. Izsiljevalski napad, ki zaklene poslovne podatke, lahko malo podjetje ustavi za dni ali tedne. Stroški obnovitve, izgubljeni prihodki in morebitna odgovornost po GDPR hitro presežejo deset tisoč evrov. Za podjetje z letnim prihodkom 200.000 evrov je to občuten udarec.
Pet osnovnih ukrepov za takojšnjo uvedbo
Ti ukrepi ne zahtevajo tehničnega znanja ali velikega proračuna. Zahtevajo le odločitev in dosledno izvajanje.
1. Uporabite upravitelja gesel. Vsak zaposleni naj ima edinstven, dolg geslo za vsako storitev. Upravitelj gesel to omogoča brez potrebe po pomnjenju. Priporočljive možnosti so Bitwarden (odprtokoden, brezplačen za posameznike) ali 1Password (plačljiv, a z dobrimi poslovnimi funkcijami). Strošek za podjetje s petimi uporabniki: od 0 do 25 evrov mesečno.
2. Vklopite dvostopenjsko preverjanje povsod, kjer je mogoče. To pomeni, da poleg gesla potrebujete še kodo iz telefona ali varnostnega ključa. Vklopite ga vsaj za e-pošto, bančne storitve in oblačne shrambe. To je najučinkovitejši posamični ukrep.
3. Posodabljajte programsko opremo. Zastarele različice operacijskih sistemov in programov vsebujejo znane varnostne ranljivosti, ki jih napadalci izkoriščajo avtomatizirano. Nastavite samodejne posodobitve na vseh napravah — računalnikih, telefonih in usmerjevalnikih.
4. Varnostne kopije po pravilu 3-2-1. Tri kopije podatkov, na dveh različnih medijih, od tega ena zunaj poslovnih prostorov. Oblačna varnostna kopija šteje kot zunanja kopija. Preverite, ali varnostne kopije dejansko delujejo — vsaj enkrat na četrtletje poskusite obnoviti podatke iz kopije.
5. Izobrazite zaposlene o prepoznavanju lažnih sporočil. Večina uspešnih napadov se začne s phishing e-pošto — sporočilom, ki se pretvarja, da je od banke, dobavitelja ali direktorja. Naučite zaposlene treh pravil: ne klikajte na povezave v nepričakovanih sporočilih, preverite pošiljatelja (ne le prikazano ime, temveč dejanski e-naslov) in ob dvomu pokličite pošiljatelja po telefonu.
Kdaj potrebujete zunanjo pomoč
Zgornji ukrepi pokrijejo osnove. Zunanjo strokovno pomoč pa potrebujete v naslednjih primerih:
- Obdelujete občutljive osebne podatke (zdravstveni, finančni sektor).
- Vaše podjetje je že bilo tarča napada.
- Uporabljate lastne strežnike ali specializirano programsko opremo.
- Stranka ali partner zahteva varnostni pregled kot pogoj sodelovanja.
V teh primerih poiščite ponudnika upravljanih varnostnih storitev. Mesečni strošek za malo podjetje se giblje med 100 in 400 evri, odvisno od obsega. To je bistveno manj kot strošek enega uspešnega napada.