Парадокс безпеки: коли бізнес сам себе заблокував

Нещодавно я заплатив €235, щоб потрапити до власного будинку.

Я не загубив ключ десь у місті, і замок не зламався. Я просто вийшов надвір і зачинив за собою двері, залишивши ключ усередині. Двері трималися лише на язичку, ключ я не повертав.

Коли приїхав майстер, я розповів йому про захищений циліндр і надійну фурнітуру. У цій ситуації вони майже нічого не змінювали. Приблизно за п’ять хвилин двері були відчинені без пошкоджень.

Я запитав, що було б, якби я все-таки замкнув їх ключем. Тоді робота була б набагато складнішою. Найімовірніше, довелося б пошкодити частину механізму, витратити більше часу й заплатити значно дорожче.

Виходить дивна суперечність. Що краще я захищаю будинок від сторонньої людини, то важче мені самому потрапити всередину, коли ключ недоступний. З кібербезпекою малого бізнесу може статися те саме.

Надійний замок вирішує лише половину проблеми

Складні паролі та двофакторна автентифікація потрібні. Нідерландська Торгово-промислова палата KVK порівнює 2FA з додатковим замком на обліковому записі.

Власник бізнесу має також розуміти, як працівник відновить доступ, якщо скористатися цим додатковим замком більше не вдається. Телефон можна загубити або розбити. Старий номер інколи залишається способом відновлення через роки після заміни. Працівник може звільнитися, а єдиний адміністратор захворіти чи бути недоступним під час відпустки.

Тоді невдалий вхід перетворюється на ризик зупинки роботи. Команда не має доступу до пошти чи CRM. Ніхто не може оновити сайт, продовжити домен або відкрити документи й резервні копії, без яких бізнес не працює.

Саме тому нідерландський NCSC розглядає керування доступом і підготовку до відновлення як окремі складові цифрової стійкості. Не пустити стороннього недостатньо. Потрібно ще повернути компанію до роботи після проблеми.

Іноді цифрові ключі залишаються у попереднього підрядника

Я приймав проєкти, у яких важливі цифрові ресурси залежали від однієї людини або колишнього веброзробника. Домен, хостинг чи панель керування сайтом могли бути прив’язані до особистої електронної адреси підрядника.

Компанія користується сайтом і сплачує за нього, але фактично не може самостійно ним керувати без людини, яка колись створила проєкт. Поки співпраця триває і підрядник відповідає, цю залежність легко не помітити. Вона стає очевидною, коли спеціаліст припиняє роботу, втрачає свій обліковий запис або не може швидко допомогти. Бізнес опиняється перед зачиненими цифровими дверима.

Власник не зобов’язаний самостійно адмініструвати хостинг або розуміти кожне технічне налаштування. Це робота спеціаліста. Але компанія має зберігати контроль: знати, на кого зареєстровані облікові записи, хто має права адміністратора та як передати керування іншому фахівцю.

Телефон із 2FA загублено: що буде з робочим днем?

Працівник знає пароль, але телефона з програмою Authenticator більше немає. Що відбувається далі?

За погано підготовленого процесу увійти ніхто не може. Кодів відновлення немає, другого адміністратора теж, а служба підтримки відповість лише за кілька днів. Захист виконав свою функцію, але працівник не може виконувати свою роботу.

У підготовленій компанії уповноважений адміністратор перевіряє особу працівника. Втрачений спосіб підтвердження вимикають, а новий пристрій безпечно підключають. Система зберігає інформацію про те, хто і коли відновив доступ.

Резервним шляхом не може бути один офісний пароль для всіх. Прихований адміністраторський обліковий запис, дані якого знає вся команда, теж не вирішує проблему. Відновлення доступу має бути контрольованою процедурою, яку використовують лише за потреби. Як запасний ключ: не під килимком, але й не всередині замкненого будинку.

Єдиний адміністратор також може стати недоступним

У багатьох невеликих компаніях є одна людина, яка «знає все». Вона контролює корпоративну пошту, домени, CRM, сайт, автоматизації та хмарне сховище. Це може бути власник, працівник або зовнішній IT-спеціаліст.

Поки ця людина доступна, схема здається зручною. Її слабке місце проявляється того дня, коли адміністратор сам не може увійти або допомогти іншим. NCSC окремо рекомендує підтримувати права доступу в актуальному стані та враховувати раптовий вихід системного адміністратора. Для бізнесу це означає, що критично важливий сервіс не повинен повністю залежати від однієї людини.

Резервному адміністратору не потрібно щодня заходити в усі системи. Але така людина має бути призначена, мати законні повноваження й знати погоджений порядок відновлення. Інакше резерв існує лише на папері.

Резервна копія корисна лише тоді, коли її можна відновити

Резервні копії часто створюють таке саме хибне відчуття безпеки. На панелі є зелена позначка «backup completed», отже питання нібито вирішене. Але де зберігається копія? Хто має до неї доступ? Чи не залежить відновлення від того самого телефона або облікового запису, який уже втрачено? У кого ключ шифрування? Чи пробував хтось насправді відновити сайт або робочу систему з цієї копії?

Компанія може мати повну копію сайту й бази даних, але втратити доступ до хмарного сховища. Пароль може залишитися в обліковому записі колишнього працівника. Автоматична система здатна місяцями створювати пошкоджені копії, і ніхто цього не помітить до першого серйозного збою.

Тому NCSC радить не лише створювати резервні копії, а й регулярно перевіряти процес відновлення. Потрібна і копія даних, і робочий спосіб повернути їх у систему.

Перевірте п’ять сервісів, без яких компанія не може працювати

Для першої оцінки не потрібна технічна освіта. Оберіть п’ять сервісів, без яких бізнес не зможе довго працювати: корпоративну пошту, домен, сайт, CRM або бухгалтерську систему та хмарні документи.

Для кожного сервісу потрібні зрозумілі відповіді:

• На кого зареєстровано основний обліковий запис?
• Хто зараз має права адміністратора?
• Хто відновить доступ після втрати телефона?
• Що станеться, якщо постійний адміністратор буде недоступний?
• Де зберігаються коди відновлення та чи актуальні контактні дані?
• Чи зможе інший спеціаліст прийняти систему без допомоги попереднього підрядника?
• Чи перевіряли відновлення з резервної копії на практиці?

Власнику не обов’язково виконувати всі технічні дії самому. Але відповіді не можуть існувати лише в голові або особистому обліковому записі одного IT-спеціаліста.

Кібербезпека захищає і здатність бізнесу продовжувати роботу

Після історії з дверима мені не знадобився слабший замок. Мені був потрібен надійний спосіб дістатися до запасного ключа.

Компанії також не потрібно вимикати 2FA, спрощувати паролі або надавати всім права адміністратора. Варто заздалегідь визначити, як відновлюється доступ, хто контролює корпоративні облікові записи та що відбувається після зміни працівника чи підрядника.

Надійний захист відповідає на два питання. Як не пустити стороннього? І як повернути доступ уповноваженій людині, не створюючи нової вразливості?

Якщо ви не впевнені, хто контролює ваш домен, хостинг, сайт або пов’язані автоматизації, це можна спокійно перевірити під час консультації. Я допоможу визначити, де бізнес залежить від однієї людини, які доступи компанія справді контролює та що слід упорядкувати насамперед.

Якщо стороння людина вже отримала доступ або на сайті з’явилася підозріла активність, одного керування доступами недостатньо. Прочитайте, з чого починаються перевірка зламаного сайту й технічний аудит безпеки.

Про автора

Daniel Orosz

Веброзробник і засновник

Даніел створює сайти та цифрові системи в Керкраде. Він працює з вебтехнологіями понад 16 років і пояснює складні рішення простою мовою.

Більше про Даніела →