רבים מהעסקים הקטנים, בייחוד בתקופה הזו בישראל, מתמודדים עם סיכונים שונים, שעיקרם בנושאי אבטחת מידע, סיכונים אשר רק הולכים ומתרבים. בין סיכונים אלו ניתן למנות פרצות אבטחה, מתקפות סייבר, פישינג וניסיונות גניבת נתונים. למרות ההנחה השגויה הרווחת שעסקים קטנים אולי לא נחשבים כמטרות עיקריות עבור תוקפים ("מה כבר יש לגנוב ממני – אני לא IBM…"), ומכיוון שבחלק ניכר מהעסקים הללו מופעלות מערכות הגנה בעלות יכולות מועטות מאלו הפועלות בארגונים גדולים, דווקא עסקים אלו הופכים לפגיעים במיוחד, דבר שהופך את הבחירה הנכונה של פתרונות אבטחת המידע לעסק – להחלטה קריטית.
אז מה עושים כדי בכל זאת להיות מוגנים?
שלב 1: הגדרת הצרכים העסקיים והבנת הסיכונים
בשלב הראשון יש צורך להבין את אופי פעילות העסק ואת סוגי הסיכונים שעמם מתמודד או עלול להתמודד העסק. עלינו לשאול את השאלות הבאות:
- אילו סוגי נתונים העסק שלך שומר? לדוגמה: פרטי לקוחות, מסמכים משפטיים, תוכניות עסקיות, מידע רפואי, או קניין רוחני.
- האם יש מידע רגיש שמחייב שמירה על רמת אבטחה גבוהה יותר, כמו נתוני אשראי, תעודות זהות או סיסמאות?
- אילו מערכות פנימיות ואילו רשתות ארגוניות משתמשות בתקשורת כלפי העולם תוך כדי יצירת קשר עם גורמים חיצוניים (ספקים, לקוחות, מערכות שירות)?
הבנה של נקודות תורפה אלו תסייע להגדיר את סוגי ההגנה הנדרשים לעסק שלך, כדי שניתן יהיה לבחור פתרונות אבטחה מותאמים לפעילות העסקית הייחודית שלו.
שלב 2: התאמת סוגי פתרונות אבטחת מידע
לאחר זיהוי הצרכים והבנת הסיכונים הפוטנציאליים, יש לבדוק אילו פתרונות אבטחת מידע קיימים כבר בעסק, ולבצע הערכה של מה חסר ומה יתאים לשיפור ההגנה על העסק. הנה סקירה של כמה מערכות שניתן להשתמש בהן כדי לשפר ולייעל את ההגנה על סביבה עסקית:
חומת אש (Firewall):
חומת אש היא קו ההגנה הראשון ברשת של העסק שלך אל מול התקשורת מהעולם. היא פועלת כמסננת תעבורת נתונים, ומונעת גישה בלתי מורשית לרשת העסקית. חומות אש מתקדמות יכולות לזהות מתקפות, לנטר תעבורה חשודה ולחסום תעבורה ממקורות זדוניים. לעסקים קטנים מומלץ להשתמש בחומות אש מנוהלות (על ידי חברות מומחות בתחום) כדי להיות שקטים שהמערכות מוגדרות בפועל כדי לחסום איומים וגם כדי לדעת שהמערכות מקבלות עדכונים שוטפים כמו גם מענה מיידי לאיומים פוטנציאליים או קונקרטים. פעמים רבות מצאנו עסקים בהם היו מוצבים כלים כמו פיירוול אשר מכיל מערכות IDS ו IPS (מערכות לזיהוי ולמניעת פריצה) אבל אלו היו מושבתות – אם משום שמי שהציב את המערכות לא טרח להפעיל אותן, או משום שפג תוקף המנוי של קבלת העדכונים שלהם.
אנטי-וירוס ואנטי-תוכנות זדוניות:
תוכנות אנטי-וירוס מספקות הגנה על המחשבים ועל הרשת העסקית מפני וירוסים, אבל גם מפני תוכנות ריגול ותוכנות זדוניות אחרות שייתכן ומנסות לפעול בעמדות. עסקים קטנים חייבים להיות בטוחים שתוכנות ההגנה מתעדכנות באופן אוטומטי וכן לוודא שישנם כלים לניטור ולניהול מרכזי לכל המכשירים, כדי שגם אם עולה חשש או חשד לניסיון פריצה או תקיפה, מי שאמון על אבטחת מערכת המחשוב יקבל הודעה על כך ויפעל כדי לוודא שהאיום הוסר.
הצפנת נתונים (של "הטובים" 🙂 ) :
בדיוק כמו הלוגיקה שבהצפנת נתונים המשמשת תוקפים לדרוש כופר ממי שתקפו, כך יכולה אותה הצפנת מידע מצד העסק להגן על הנתונים של העסק כדי להבטיח שרק גורמים מורשים יוכלו לגשת אל המידע הרגיש של העסק. באמצעות הצפנת הנתונים, ניתן להגן ולשמור על המידע בכל מקום בו הוא נמצא ומאוחסן – בתוך הארגון או בענן, אבל גם במהלך העברת המידע ברשתות התקשורת של העסק. לעסקים קטנים מומלץ להצפין נתונים רגישים כגון פרטי לקוחות או סיסמאות, קבצים חשובים או מידע עסקי רגיש אחר.
גיבוי, עדיף בענן ואם בענן, אז מומלץ שיהיה מנוהל:
גיבוי נתונים בצורה מאובטחת בענן מספק עוד שכבת הגנה לארגון ויכול לסייע להתאושש ממקרים בהם העסק נפרץ, במקרה שבו קרה כשל פיזי במערכות הIT או אם העסק חווה מתקפת כופר. גיבוי בענן מאפשר שחזור מהיר של המידע ומונע אובדן נתונים חשובים. חשוב מאוד לוודא שמי שאמון על ביצוע הגיבוי יודע מה הוא עושה (מכיוון שלא מספיק רק לוודא שהגיבוי מתבצע באופן אוטומטי): יש להבטיח יכולת שחזור בכל רגע נתון, צריך לוודא שהמידע זמין באיחסון ענני מהיר, וחשוב לוודא כי מערכות הגיבוי יודעות לפעול באופן כזה שמונע מהתוקפים למחוק את הגיבוי כחלק מתהליך התקיפה…
שלב 3: עבודה עם ספק שירותי IT מנוהלים (MSP)
לא לכל עסק קטן יש את המשאבים הנדרשים לניהול מערכות אבטחת מידע באופן עצמאי, לכן בחירה בקבלת שירות מנוהל על ידי ספק Managed Service Provider (MSP) אשר מפעיל צוותים ומערכות ייעודיות לשם כך, יכולה להקל משמעותית על הטיפול באבטחת המידע של העסק ובכלל. חברת תמיכה כזו יכולה לספק הגנה שוטפת, לבצע ניטור רציף ומקצועי ולוודא שבכל עת מתבצעים עדכוני אבטחה – שוטפים או ידניים, קריטיים וגם אלו שפחות, ולא רק של מערכת ההפעלה אלא של כל רכיב מועד לפורענות של המערכת, וכמובן חברה שתוכל לתת מענה מהיר לחשד לפריצות או לתקיפות ואף גם תוכל לספק מענה לבעיות שנוצרו עקב תקלות או בעקבות טעות אנוש.
כאשר בוחרים ספק שירותי IT מנוהלים, יש לוודא שהספק מציע וכולל את השירותים הבאים:
- ניטור רציף של הרשת וכל מה שמחובר אליה
- איתור תקלות בזמן אמת והפעלת נוטיפיקציה בעת גילוי אנומליות.
- עדכונים אוטומטיים למערכות אבטחה, כולל עבור חומת האש, לכלי האנטי-וירוס ולתוכנות הגנה אחרות.
- גיבויים מאובטחים בענן כפתרון עסקי – כזה שיכול לגבות קבצים פתוחים, להצפין את המידע בעת העברתו לענן וחשוב לא פחות, זמין לשחזור מידע באופן מהיר.
- ייעוץ והכוונה במקרים של פריצות או ניסיונות לתקיפה.
שלב 4: הכשרת העובדים
חוסר הידע ומעט הניסיון של הגורם האנושי המועסק בעסק, בנושאים הקשורים לאבטחת מידע ולהתנהלות נכונה בהקפדה על מדיניות ארגונית בטוחה, הם גורמי סיכון גדולים ביותר לעסק קטן, גם אם העסק מעסיק כמות עובדים קטנה. הכשרה מתאימה של העובדים בנושאים הקשורים לאבטחת מידע ולהתנהלות נכונה עם מידע עסקי, לימוד העובדים לזהות דואר זבל, ניסיונות פישינג או תקיפות אחרות, יצירת סיסמאות חזקות והחלפתן בזמן וכן יצירת מודעות לעדכוני אבטחה, עשוייה להקטין משמעותית את הסיכון לפריצות או את הצלחת הניסיונות לפרוץ לעסק. מומלץ לערוך סדנאות הסברה בתחום אבטחת המידע לעובדים, לקבוע מדיניות להתנהלות וכן לוודא שמדיניות אבטחת המידע מובנת לכלל העובדים ואף מיושמת כראוי.
לסיכום, אבטחת המידע העסקי חשובה, גם, ואולי במיוחד לעסקים קטנים!
העסקים הקטנים הופכים ליעדים אטרקטיביים עבור התוקפים דווקא מכיוון שבעסקים קטנים אמצעי האבטחה מוגבלים ולא תמיד בעלי העסקים שומרים על המחשבים מעודכנים או פועלים מתוך מודעות לסכנות. יישום פתרונות אבטחת מידע מקיפים, כמו אלו שציינו פה – חומת אש, אנטי-וירוס, הצפנה וגיבוי מאובטח, כמו גם קבלת גב חזק מספק שירותי IT מנוהלים, עשוי להניב רמה גבוהה של הגנה על מערכות המחשוב של העסק וכן למנוע אובדן נתונים או פגיעה בתפקוד העסקי.
אל תזניחו את האבטחה של העסק – השקעה נכונה בשרותי אבטחת מידע מנוהלים תסייע לכם לנהל עסק עם מערכות מחשוב בטוחות ויציבות לאורך זמן.