הגנה על הכסף והמידע: סיסמה חזקה, אימות בשני שלבים וגיבוי שלא תצטערו עליו

שלום לקוראי עולם הכסף. בעסק קטן הכסף והמידע יושבים באותם מקומות: חשבון הבנק של העסק, התשלומים לספקים, סליקת האשראי, חשבוניות ורשימת הלקוחות. תקיפה אחת מוצלחת על אחד מאלה יכולה להפוך לאירוע כספי לכל דבר - לא רק לתקלה טכנית. המהדורה הזאת מסדרת את ההגנה בשלוש שכבות פשוטות: מי נכנס, מה קורה כשמשהו נהרס, ואיך לא נופלים בפח. רוב הצעדים אינם דורשים ידע טכני מיוחד או תקציב גדול - אלא החלטה, והקצאה קבועה של זמן קצר.

שכבה ראשונה: מי נכנס לחשבונות

הדלת הראשית של העסק היא לעיתים קרובות הסיסמה לדואר האלקטרוני: בשירותים רבים איפוס הסיסמה עובר דרך הדוא"ל, ולכן מי ששולט בו עלול להשתלט גם על חשבונות נוספים שמבוססים עליו. לכן הכלל הראשון הוא סיסמה ארוכה וייחודית לכל שירות חשוב: אורך מנצח מורכבות, ואותה סיסמה לא חוזרת פעמיים בשום מקום. הכתבה סיסמה חזקה: מה ממליץ דף המידע הממשלתי מסכמת את ההמלצות הרשמיות. כדי לא לזכור עשרות סיסמאות, מנהל סיסמאות מסודר עושה את העבודה.

מעל הסיסמה יושבת שכבה נוספת: אימות דו-שלבי - אמצעי זיהוי שני בנוסף לסיסמה, כמו אפליקציית אימות, קוד חד-פעמי או מפתח אבטחה פיזי. הוא אינו חסין מפני עקיפה, אבל הוא מחסום משמעותי: סיסמה שנחשפה כבר אינה מספיקה לבדה כדי להיכנס. מפעילים אותו קודם כל על הדוא"ל, הבנק והסליקה - ואז על שאר השירותים. הכתבה אימות רב-שלבי: איך מגנים על חשבונות העסק מדריכה צעד-צעד.

ולעסק עם עובדים שני כללי סדר קטנים: לכל עובד חשבון משלו, לא סיסמה משותפת - כך אפשר לדעת מי עשה מה, ולבטל גישה של מי שעזב בלי לשנות סיסמאות לכולם. וכל עובד מקבל רק את הגישה שהוא צריך לתפקידו. עובד שמסיים את תפקידו - מבטלים את הגישות באותו יום.

שכבה שנייה: גיבוי שבאמת נפתח

מחשב מתקלקל, טלפון נגנב, ומתקפת כופרה מצפינה את כל הקבצים ודורשת תשלום. המכנה המשותף: נתונים שאבדו לא חוזרים לבד. השיטה המקובלת לגיבוי נקראת 3-2-1: שלושה עותקים של הנתונים, על שני סוגי אחסון שונים, כשאחד העותקים נמצא מחוץ למקום - למשל בענן או בדיסק נייד שנשמר במקום אחר. הכתבה גיבוי נתוני העסק: כלל 3-2-1 בלי להסתבך מפרטת איך מיישמים.

שתי נקודות שמפספסים בדרך כלל: גיבוי שמועתק אוטומטית לאותו מחשב או לאותה רשת עלול להיחשף לאותה תקיפה בדיוק. לכן העותק החיצוני הוא הלב, ולא מספיק שהוא במקום אחר גיאוגרפית - הוא צריך להיות מנותק מהרשת השוטפת, או מוגן בבקרת גישה נפרדת, כדי שאותה פריצה לא תגיע גם אליו. וגיבוי שלא ניסו לפתוח אינו גיבוי אלא תקווה: פעם בחודש פותחים קובץ מהגיבוי ובודקים שהוא באמת עובד. מול מתקפת כופרה, גיבוי חיצוני עדכני ומבודד יכול לקצר מאוד את ההשבתה ולצמצם את הנזק, בלי תלות בדרישות התוקפים.

שכבה שלישית: האדם שלפני המקלדת

יש הונאות שלא פורצות מערכות כלל - הן פונות ישירות לאדם. הודעה שמבקשת פרטים, מזרזת אתכם בלחץ של זמן, או כוללת קישור מפתיע ראויה לחשד. הכללים פשוטים: לא לוחצים על קישור מהודעה לא צפויה; לא מוסרים פרטי חשבון או סיסמאות בעקבות פנייה; וכל בקשה דחופה שקשורה בכסף - כמו שינוי פרטי חשבון של ספק - מאמתים בערוץ עצמאי, למשל טלפון למספר ששמור אצלכם מקודם. על זה דיברנו גם במהדורה הקודמת, והכתבה החשבונית מוכרת, חשבון הבנק חדש: כך מגינים על תשלומי העסק נותנת את הנהל המלא.

וכשמשהו מריח חשוד - יש למי לפנות. המרכז המבצעי לניהול אירועי סייבר של המדינה, קו 119, מאויש 24 שעות ביממה, והחיוג אליו חינם. פונים אליו כשיש חשש לאירוע סייבר: הודעה שנראית כמו דיוג, הונאה, קובץ שחשוד כמזיק או כופרה - ומקבלים הכוונה ראשונית. אפשר גם לדווח באתר באופן מקוון או בדוא"ל. שימו לב: המרכז אינו מטפל בתקלות מחשב, ובמקרה של הונאה בפועל הוא אינו מחליף דיווח למשטרה. ובמדריך של המערך להתמודדות עם מתקפות כופרה מומלצים גם עדכוני תוכנה שוטפים ותוכנת הגנה בסיסית, ומודגש שהגנה מלאה היא תחום מקצועי שראוי ליווי של איש מקצוע. הכתבה הודעה חשודה בטלפון? מי עוזר לבדוק, ומה זה דיוג מרחיבה, ובכתבה גניבת זהות דיגיטלית: צעדי הגנה לפי מערך הסייבר הלאומי יש צעדי הגנה נוספים.

דוגמה להמחשה

דמיינו בוקר רגיל: המחשב הראשי של העסק נדלק, אבל הקבצים אינם נפתחים, ועל המסך דרישת כופר. עם גיבוי חיצוני עדכני ומבודד יש בסיס להתחיל ממנו שחזור. אבל שחזור אינו העתקה חזרה אל מערכת שעלולה להיות נגועה: קודם מבודדים אותה ומוודאים שהיא נקייה - לרוב בעזרת איש מקצוע - ורק אז מעלים את הגיבוי. התהליך עלול לקחת שעות ולעיתים ימים, אבל יש מה לשחזר. בלי גיבוי, האפשרויות מצטמצמות: שחזור חלקי אם בכלל, אובדן חשבוניות ורשימות לקוחות, והתלבטות קשה מול דרישת התשלום - שגם תשלום עצמו אינו מבטיח שום דבר. אותו כלל עובד גם לתרחיש הרגיל בהרבה: טלפון שהולך לאיבוד עם אנשי הקשר והאפליקציות. התרחישים להמחשה בלבד.

רשימת בדיקה לשבוע הקרוב

הפעילו אימות דו-שלבי על הדוא"ל של העסק ועל הבנק. עברו על רשימת מי שיש לו גישה לחשבונות העסק - ובטלו גישות שאינן נחוצות עוד. ודאו שקיים עותק גיבוי מבודד - מנותק מהרשת השוטפת או עם גישה מוגנת נפרדת - ופתחו קובץ אחד ממנו לבדיקה. שמרו את קו 119 באנשי הקשר של העסק. והחליטו על כלל כתוב אחד: בקשה דחופה שקשורה בכסף עוברת אימות בערוץ אחר, תמיד. חמישה צעדים, ויש לעסק נקודת פתיחה מעשית: שלוש שכבות ההגנה מוצבות, ואפשר להעמיק משם.

המידע במהדורה כללי ואינו מהווה ייעוץ משפטי או ייעוץ בתחום אבטחת המידע. מערך הסייבר הלאומי מפרסם הנחיות מעודכנות, ובאירוע חריג כדאי לפנות לגורמים המקצועיים.

לקריאה נוספת

• סיסמה חזקה: מה ממליץ דף המידע הממשלתי
• אימות רב-שלבי: איך מגנים על חשבונות העסק
• גיבוי נתוני העסק: כלל 3-2-1 בלי להסתבך
• הודעה חשודה בטלפון? מי עוזר לבדוק, ומה זה דיוג
• גניבת זהות דיגיטלית: צעדי הגנה לפי מערך הסייבר הלאומי

מצאתם טעות או תוכן לא ראוי? דווחו לנו >>