امنیت سایبری برای کسب‌وکارهای کوچک اغلب به فهرستی از ابزارها فروکاسته می‌شود: فایروال، آنتی‌ویروس، VPN و چند سرویس اشتراکی. مشکل این فهرست، نداشتن «ترتیب» است. تیمی که نه متخصص امنیت تمام‌وقت دارد و نه بودجهٔ بی‌پایان، نمی‌تواند همه‌چیز را هم‌زمان بخرد؛ پس باید بداند کدام تصمیم بیشترین ریسک را با کمترین هزینه کم می‌کند. این مقاله از همین زاویه به موضوع نگاه می‌کند: اولویت‌بندی، نه فهرست خرید.
مهاجم شما را انتخاب نمی‌کند، اسکن می‌کند
بخش بزرگی از حملاتی که به کسب‌وکارهای کوچک می‌رسد شخصی‌سازی نشده است. ابزارهای خودکار دامنهٔ اینترنت را می‌پیمایند و به دنبال سه چیز می‌گردند: پیکربندی پیش‌فرض، سرویس به‌روزرسانی‌نشده و حساب کاربری با گذرواژهٔ ضعیف یا بدون لایهٔ دوم ورود. مهاجم به دنبال «شما» نیست؛ به دنبال «آسان‌ترین» است. به همین دلیل در امنیت سایبری، هدف سخت مهم‌تر از هدف بزرگ است: اگر هزینهٔ نفوذ به شما از سود احتمالی‌اش بیشتر شود، عملاً از دید بسیاری از مهاجم‌ها ناپدید می‌شوید.
این نگاه یک نتیجهٔ مهم دارد: دفاع مؤثر برای کسب‌وکار کوچک، ساختن «سد کامل» نیست؛ حذف بردهای ارزان است. روشن‌کردن احراز هویت دوعاملی روی ایمیل چند دقیقه وقت می‌گیرد و همان چیزی است که بسیاری از نفوذهای خودکار را در قدم اول متوقف می‌کند.
مدل تهدید کوچک: سه پرسش پیش از هر خرید
پیش از خرید هر ابزاری، یک جلسهٔ کوتاه با سه پرسش برپا کنید. خروجی همین جلسه، «مدل تهدید (threat model)» ساده‌شدهٔ شماست:
- چه چیزی داریم که از دست رفتنش کسب‌وکار را متوقف می‌کند؟ پورتال مشتریان، دادهٔ مالی، ایمیل مدیرعامل، دسترسی به حساب‌های بانکی یا کد منبع محصول.
- چه کسی انگیزهٔ واقعی دارد؟ رقیب، کارمند ناراضی، باج‌گیر خودکار یا فقط یک اسکنر بی‌هدف. پاسخ، نوع دفاع را عوض می‌کند.
- اگر همین امروز از دست برود چه می‌کنیم؟ اگر پاسخ روشن ندارید، آن دارایی هنوز مدیریت نشده است.
نگذارید این جلسه به فهرست آرزوها تبدیل شود. هدف، توافق روی دو یا سه دارایی حیاتی است، نه نقشهٔ کامل شبکه.
هویت، مرز واقعی
وقتی کارکنان از خانه، از موبایل و از چند سرویس ابری کار می‌کنند، مرز شبکه معنای گذشتهٔ خود را از دست می‌دهد. آنچه می‌ماند، حساب کاربری است. سه عادت بد که در کسب‌وکارهای کوچک زیاد دیده می‌شود:
- یک حساب مدیر مشترک که همه با آن کار می‌کنند و کسی نمی‌داند چه کسی چه کاری کرده است.
- یک گذرواژه برای ایمیل، پنل میزبانی و شبکه‌های اجتماعی، بدون احراز هویت دوعاملی (multi-factor authentication).
- حساب‌هایی که پس از خروج کارمند یا پایان قرارداد پیمانکار هنوز فعال‌اند.
اصل راهنما، «کمترین دسترسی (least privilege)» است: هر حساب فقط همان چیزی را ببیند که برای کارش لازم است. حساب مدیر را برای کار روزمره به کار نبرید؛ برای مدیران حساب جداگانه و دوعاملی بسازید. برای انتخاب روش دوم ورود میان پیامک، اپلیکیشن اصالت‌سنج و کلید سخت‌افزاری، مقایسهٔ روش‌های احراز هویت را ببینید. مهم‌تر از نوع ابزار این است که بالاخره یکی را انتخاب و اجباری کنید.
پشتیبان‌گیری که واقعاً بازیابی می‌شود
پشتیبان بدون آزمون بازیابی، سند است نه بیمه. باج‌افزارها به‌طور مشخص دنبال نسخه‌های پشتیبان متصل می‌گردند؛ پشتیبانی که با همان حساب مدیر و روی همان شبکه در دسترس است، در عمل بخشی از هدف است. قاعدهٔ ساده و رایجی که هنوز کار می‌کند این است: چند نسخه از داده، روی دو نوع رسانه، با حداقل یک نسخهٔ جدا از شبکه یا غیرقابل تغییر (immutable).
سه کار عملی برای هفتهٔ اول:
- پشتیبان را با حسابی جداگانه از حساب روزمره بگیرید.
- یک نسخهٔ خارج از شبکه یا فقط‌خواندنی نگه دارید.
- فصلی یک بازیابی واقعی روی محیط آزمایشی انجام دهید و زمانش را یادداشت کنید.
سطح تماس را کوچک کنید
بسیاری از کسب‌وکارهای کوچک نمی‌دانند چند سرویسشان از اینترنت قابل دسترسی است: پنل مدیریت سایت، پنل میزبانی، وب‌سرویس‌های قدیمی، دوربین‌ها و داشبوردهای گزارش‌گیری. فهرستی از این‌ها بسازید و برای هر کدام سه پرسش بپرسید: آیا لازم است از اینترنت دیده شود؟ آیا آخرین وصله نصب شده است؟ آیا ورودش دوعاملی است؟
آنچه پشت این فهرست پنهان می‌شود، همان نکتهٔ قدیمی است: گواهی SSL فقط رمزنگاری مسیر را تضمین می‌کند، نه امنیت برنامه را. برای اینکه بفهمید آسیب‌پذیری‌های یک برنامهٔ وب از کجا می‌آیند، امنیت نرم‌افزارهای تحت وب: از مرز شبکه تا مرز اعتماد نقطهٔ شروع خوبی است.
ترتیب هزینه کردن
با بودجهٔ محدود، معیار انتخاب ابزار باید «کاهش حجم خسارت» باشد، نه تعداد قابلیت‌ها. ترتیبی که در بیشتر کسب‌وکارهای کوچک جواب می‌دهد:
- احراز هویت دوعاملی روی ایمیل و پنل‌های مدیریت. بیشترین اثر با کمترین هزینه و کمترین زمان راه‌اندازی.
- پشتیبان آزمون‌شده و جدا از شبکه. تفاوت میان یک روز توقف و پایان کار.
- فهرست دارایی‌ها و مدیریت وصله. نصب به‌روزرسانی‌ها یک فرایند است، نه یک اقدام موردی.
- محافظت از نقطهٔ پایانی و ثبت رویداد. بدون لاگ، تشخیص و بررسی حادثه تقریباً ناممکن است.
- آموزش کوتاه و تکرارشدنی. یک جلسه در سال کافی نیست؛ آموزش باید در فرایندهای واقعی جا بیفتد.
چارچوب‌های مدیریت ریسک، مثل چارچوب امنیت سایبری NIST، همین منطق را در قالب شناسایی، محافظت، تشخیص، پاسخ و بازیابی مرتب می‌کنند. لازم نیست کل چارچوب را پیاده کنید؛ همین که بدانید در کدام مرحله ضعیف‌ترید کافی است.
چیزهایی که در شلوغی جا می‌مانند
- ورود و خروج کارمند: یک چک‌لیست ساده که فهرست حساب‌ها، دسترسی‌ها و تحویل دستگاه را پوشش دهد.
- دسترسی پیمانکار و فروشنده: دسترسی موقت با تاریخ انقضا، نه حساب دائمی.
- کارت واکنش: یک صفحه که می‌گوید در صورت شک به نفوذ چه کسی اول تماس بگیرد و چه چیزی را خاموش نکنیم تا شواهد از دست نرود.
جمع‌بندی
امنیت سایبری برای کسب‌وکارهای کوچک با خریدن ابزار بیشتر بهتر نمی‌شود؛ با برداشتن آسان‌ترین راه‌ها برای مهاجم بهتر می‌شود. اگر امروز فقط دو کار انجام دهید، این دو را انتخاب کنید: احراز هویت دوعاملی برای حساب‌های مهم، و یک پشتیبان که دست‌کم یک‌بار واقعاً از آن بازیابی کرده‌اید. بقیهٔ تصمیم‌ها را بعد از این دو و بر اساس مدل تهدید خودتان بچینید.
