Защиту небольшой компании разумно начинать не с покупки сложной системы, а с ответа на вопрос: без каких данных и сервисов остановится работа? Для магазина это заказы и остатки, для агентства — рабочая почта, документы и доступы к клиентским проектам. От этого зависит порядок действий.
Сначала составьте карту бизнеса
Выпишите почту, сайт, CRM, бухгалтерскую базу, файловое хранилище, домены и рабочие устройства. Для каждого пункта укажите владельца учётной записи, ответственного сотрудника, способ восстановления и место резервной копии. Отдельно отметьте сервисы, зарегистрированные на личные телефоны бывших сотрудников.
Что сделать в первую очередь
- Закрепить корпоративные аккаунты за компанией и проверить контакты восстановления.
- Включить многофакторную аутентификацию там, где она поддерживается, прежде всего для почты и администраторов.
- Убрать общие пароли и ненужные права. Для внешних специалистов создать отдельные временные учётные записи.
- Проверить обновления программ, сайта и устройств. Критичные изменения сначала испытывать на тестовой копии.
- Восстановить один рабочий документ и тестовую копию сайта из резервной копии.
Назначьте ответственных, а не только инструменты
У каждого действия должен быть исполнитель. Фраза «резервированием занимается хостинг» не отвечает на вопросы о глубине хранения, потере последних заказов и сроке восстановления. Запишите, кто проверяет копии, кто получает уведомления и кто принимает решение при остановке сайта.
Для сотрудников достаточно начать с коротких правил: не передавать коды входа, проверять изменение реквизитов через известный канал и сразу сообщать о подозрительном действии. Сообщение об ошибке должно помогать остановить инцидент, а не становиться поводом скрывать проблему.
Как понять, что первый этап завершён
Результат — список активов и владельцев, закрытые лишние доступы, проверенное восстановление и понятный контакт на случай инцидента. Количество купленных лицензий само по себе ничего не доказывает. Следующий бюджет лучше направить на обнаруженные пробелы: например, на защиту рабочих устройств или пересмотр доступа к клиентским данным.
Дополнительно: NIST: защита малого бизнеса.
