Для кого этот список
Для компании, где нет системного администратора, а данные клиентов есть.
Профессиональная защита - отдельная работа со специалистом. Но большая часть реальных проблем у малого бизнеса случается не из-за сложных атак, а из-за простых вещей: пароль один на всё, доступ у уволенного, файл с базой в общей папке по ссылке.
Ниже двенадцать пунктов, которые закрывают именно эту, самую частую часть. Проверяются за вечер, ничего не стоят.
Доступы
Составьте список, кто куда имеет доступ. Поимённо. Пока списка нет, всё остальное бессмысленно - вы не знаете, что защищаете. Это же пригодится для карты данных компании.
Уберите доступы уволившихся. Проверьте всех, кто ушёл за последний год. Обычно находится минимум один живой доступ.
Уберите доступы подрядчиков, с которыми закончили. Бухгалтер, маркетолог, разработчик - у каждого что-то оставалось.
Проверьте общие ссылки. Папки и документы, открытые «по ссылке всем, у кого есть». Такие ссылки живут вечно и расходятся дальше, чем вы думали.
Дайте доступ по должности, а не по привычке. Менеджеру не нужна кадровая папка, а курьеру - клиентская база целиком. Про раздачу прав есть отдельный текст.
Входы и пароли
Включите двухфакторную защиту везде, где она есть. Почта, мессенджеры, кабинеты на площадках, домен. Это единственный пункт списка, который защищает даже при украденном пароле.
Разные пароли на разные сервисы. Один пароль на всё означает, что утечка в одном месте открывает все остальные.
Проверьте, куда приходят коды подтверждения. Если на личный номер сотрудника, вы зависите от этого человека. Про аккаунты, оформленные на людей, писали отдельно.
Устройства и люди
Договоритесь про личные устройства. Рабочая переписка на личном телефоне - это нормально, пока телефон не потеряли и на нём нет блокировки экрана. Минимум: пароль на устройстве и возможность удалённо отключить рабочий доступ.
Проведите короткий разговор про фишинг. Не лекцию, а пять минут: как выглядят письма и сообщения, которые крадут доступы. Атаки под видом популярных сервисов - самый простой способ попасть внутрь, и они стали заметно активнее.
Договоритесь про установку программ. Правило простое: рабочие инструменты ставятся по согласованию, а не по совету из чата.
Хранение
Решите, где лежат файлы. Одно место вместо «у каждого своё». Пока договоры и базы разбросаны по личным дискам и чатам, защищать нечего - про это есть отдельный разбор.
Смысл списка не в том, чтобы стать неуязвимым. Он в том, чтобы закрыть способы, которыми в маленькую компанию попадают чаще всего, - а это почти всегда старый доступ, общий пароль или открытая ссылка.
Что делать, если уже случилось
Отдельный сценарий, и действовать надо быстро.
Первое: смените пароли и отзовите активные сессии там, куда могли попасть. Второе: определите, какие данные затронуты и чьи это данные. Третье: зафиксируйте время и обстоятельства письменно.
Дальше начинается юридическая часть, и там есть сроки уведомления регулятора. Порядок первых суток мы разбирали в тексте что делать при утечке клиентской базы.
Тянуть нельзя ровно по одной причине: неуведомление при установленной утечке наказывается отдельно и заметно строже, чем сама утечка.
Чего в этом списке нет
Честная граница, чтобы не создавать ложного спокойствия.
Тут нет шифрования, сегментации сети, контроля утечек и всего, что относится к профессиональной защите. Если у вас чувствительные данные - медицина, финансы, персональные данные в большом объёме, - этот список только начало, дальше нужен специалист.
И тут нет ответа на вопрос, где физически лежат ваши данные. Это отдельная тема, связанная с 152-ФЗ, и она решается выбором сервисов, а не настройками.
Где здесь мы
Половина пунктов выше упирается в то, что переписка живёт в личных аккаунтах, где у компании нет ни доступов, ни прав, ни возможности что-то отозвать.
Корпоративный мессенджер - 5 990 рублей в месяц за компанию - переносит эту часть туда, где администратор управляет доступами, файлы лежат в одном месте, а данные находятся на серверах в России по 152-ФЗ. Установка и настройка входят в подписку, запуск за 5 дней от заявки.
Пункты про пароли, устройства и разговор с командой он не закрывает. Их всё равно делать вам, и они бесплатные.
Что делать дальше
Пройдите список сверху вниз и отметьте те пункты, где ответ «не знаю». Обычно таких три-четыре.
Начните с двухфакторной защиты на почте, к которой привязано остальное. Это десять минут и самый большой эффект из всего перечисленного.
