Pięć rzeczy, które podnoszą bezpieczeństwo i nic nie kosztują

Rozmowa o bezpieczeństwie w małej firmie zwykle zaczyna się od pytania „co kupić”. To zła kolejność. Prawie zawsze największą poprawę daje uporządkowanie tego, co firma już ma — a to nie wymaga budżetu, tylko decyzji i kilku godzin.

Poniżej pięć rzeczy w kolejności od największego wpływu. Wszystkie da się zrobić narzędziami, za które już płacisz.

1. Odebranie uprawnień administratora lokalnego

Największa pojedyncza różnica, jaką da się zrobić bez wydawania pieniędzy. Trafiony załącznik na koncie zwykłego użytkownika psuje pliki jednej osoby; ten sam załącznik na koncie z prawami administratora może wyłączyć ochronę i ruszyć dalej po sieci.

Opisałem to osobno, bo temat ma własne pułapki — najważniejsza to przygotowanie osobnego konta administracyjnego zanim cokolwiek odbierzesz.

2. Uwierzytelnianie wieloskładnikowe, zaczynając od kont uprzywilejowanych

MFA jest w każdym poważnym pakiecie biurowym w cenie. Problem nie polega na tym, że go nie ma — polega na tym, że nie jest włączone.

Nie zaczynaj od wszystkich. Kolejność, która działa:

1. konta administracyjne — wszystkie, bez wyjątku, dziś,
2. zarząd i księgowość — najczęstszy cel ukierunkowanych ataków,
3. dostęp z zewnątrz sieci firmowej,
4. reszta.

Do punktu pierwszego nie potrzeba żadnych ustaleń z zespołem. Kont administracyjnych jest kilka i to Ty nimi zarządzasz.

Warto z góry ustalić, co się dzieje, gdy ktoś zgubi telefon — bez tej odpowiedzi pierwszy taki przypadek kończy się awaryjnym wyłączeniem MFA dla całej firmy, czyli powrotem do punktu wyjścia.

3. Zamknięcie kont po odejściu pracowników

W każdym środowisku, które oglądam po raz pierwszy, znajduje się co najmniej jedno aktywne konto osoby, która odeszła. Zwykle więcej.

Nie chodzi o złe intencje byłych pracowników — chodzi o to, że takie konto nie ma właściciela, który zauważy, że coś się z nim dzieje. Nikt nie sprawdza, czy ktoś się na nie loguje. Nikt nie zmienia hasła. Nikt nie zgłosi, że przychodzi tam dziwna poczta.

To dobry moment na spisanie krótkiej listy „co zamykamy przy odejściu”: konto w domenie, poczta, usługi chmurowe, VPN, klucze SSH, dostęp do repozytoriów, karta do drzwi, przekierowanie poczty na kogoś, kto przejmuje obowiązki. Lista raz zrobiona służy latami.

4. Kopie zapasowe poza serwerem, którego dotyczą

Kopia leżąca na tym samym serwerze co dane albo na stale podłączonym dysku sieciowym nie chroni przed dwoma najczęstszymi scenariuszami: zaszyfrowaniem przez oprogramowanie wymuszające okup i awarią sprzętu.

Zasada, którą warto sprawdzić u siebie: czy istnieje kopia, do której nie da się dostać z zaatakowanej maszyny. Jeżeli odpowiedź brzmi „nie”, kopia jest tylko zabezpieczeniem przed skasowaniem pliku przez pomyłkę — a to zupełnie inne ryzyko niż to, o którym myślisz.

Drugie pytanie, ważniejsze od pierwszego: kiedy ostatnio ktoś próbował z tej kopii cokolwiek odtworzyć. Bez tego to nie jest kopia zapasowa, tylko katalog o takiej nazwie.

5. Menedżer haseł zamiast arkusza i wiadomości

Hasła administracyjne krążące w wiadomościach i arkuszach to nie kwestia niechlujstwa, tylko braku alternatywy — dostęp trzeba komuś przekazać teraz, a nie za tydzień.

Menedżer haseł rozwiązuje trzy rzeczy naraz: przekazanie dostępu bez wysyłania hasła otwartym tekstem, odebranie dostępu bez zmiany hasła wszystkim, i wiedzę o tym, kto co ma.

Warto pamiętać o rzeczy, którą pomija się przy wdrożeniu: hasło wysłane raz jest hasłem spalonym. Wprowadzenie menedżera bez wymiany tego, co wcześniej krążyło otwartym tekstem, jest robotą w połowie.

Czego celowo nie ma na tej liście

Szkoleń z rozpoznawania phishingu. Nie dlatego, że są bez wartości — dlatego, że są znacznie mniej skuteczne, niż się je sprzedaje, i nie zastępują żadnego z powyższych punktów. Człowiek, który kliknie, kliknie mimo szkolenia; pytanie brzmi, co się wtedy stanie, a to zależy od punktów 1 i 4.

Zmiany haseł co trzydzieści dni. Ta praktyka jest wycofana z zaleceń od lat, bo wymuszanie częstych zmian daje hasła słabsze i zapisane na kartce.

Polityki bezpieczeństwa jako dokumentu. Polityka, której nie da się egzekwować, jest gorsza od jej braku, bo daje złudzenie kontroli. Najpierw działające ustawienia, potem opis tego, co działa.

Ile to zajmuje

Punkty 2, 3 i 5 to realnie jeden dzień pracy w małej firmie. Punkt 1 rozkłada się na kilka tygodni, bo wymaga przyzwyczajenia zespołu. Punkt 4 zależy od tego, co już jest — od godziny do osobnego projektu.

Dopiero po tym warto rozmawiać o zakupach. Przed tym każde narzędzie działa w środowisku, które nie jest przygotowane, i daje mniej, niż obiecuje.