Більшість зломів малого бізнесу починається не з геніального хакера, а з одного слабкого пароля, який хтось поставив ще два роки тому й забув. Пошта, з якої надсилаються рахунки. Обліковий запис у панелі хостингу. Спільний акаунт у CRM, яким досі користується людина, що звільнилася навесні. Питання «як захистити паролі та доступи» звучить нудно рівно до того ранку, коли з вашого імені клієнтам розсилають фальшиві реквізити на оплату — і вони платять.

Ця стаття — не теорія, а виконуваний чек-лист. Пройдіть його один раз спокійно, і ви закриєте 90% того, через що реально втрачають гроші й репутацію. Далі — по пунктах, від найважливішого.

Другий фактор там, де живуть гроші й дані

Пароль — це «щось, що ви знаєте». Його можна підгледіти, підібрати, виманити фішинговим листом або дістати зі злитої бази чужого сайту, де ви використали той самий пароль. Другий фактор (2FA) — це «щось, що у вас є»: код у застосунку-автентифікаторі на телефоні. Навіть якщо пароль вкрали, без другого фактора зайти не вийде.

Увімкніть 2FA насамперед там, де наслідки найдорожчі:

  • робоча й особиста пошта власника та бухгалтера (пошта — це «ключ від усіх ключів», через неї скидають паролі всюди);
  • банк-клієнт і будь-які платіжні кабінети;
  • панель домену й хостингу — якщо це захоплять, заберуть увесь сайт разом із поштою;
  • соцмережі й рекламні кабінети, з яких ідуть гроші;
  • CRM, бухгалтерія, сховища документів.

Важлива деталь: для другого фактора надійніший застосунок-автентифікатор, ніж SMS. SIM-картку можна перевипустити на шахрая за підробленими документами, і код прилетить йому. І обов’язково збережіть резервні коди відновлення в надійному місці — інакше втрата телефону перетвориться на втрату доступу до власного бізнесу.

Менеджер паролів замість зошита і однакового пароля

Людина фізично не здатна вигадати й запам’ятати два десятки різних складних паролів. Тому в реальності всі роблять одне з двох: або скрізь один-два «улюблені» паролі, або тримають список у файлі, месенджері чи на папірці під клавіатурою. Обидва варіанти — це і є діра, через яку зливають бізнес.

Правильна відповідь на питання, як захистити паролі та доступи, — менеджер паролів. Це зашифроване сховище, куди ви заходите за одним головним паролем (і другим фактором), а він сам генерує та підставляє унікальні довгі паролі для кожного сервісу. Що це дає на практиці:

  • кожен акаунт має свій пароль, тож злив одного сайту не тягне за собою решту;
  • нікому не треба пам’ятати паролі — отже, їх перестають писати в чатах і на стікерах;
  • у команді можна дати доступ до потрібного пароля, не показуючи сам пароль людині, і будь-коли забрати його назад;
  • видно, де у вас слабкі, старі або повторювані паролі — і що чинити насамперед.

Головний пароль від сховища має бути довгим і унікальним — його ви не використовуєте більше ніде. Це єдиний пароль, який справді треба запам’ятати.

Один акаунт — одна людина, ніяких спільних входів

Найпоширеніша прихована пастка малого бізнесу — спільні акаунти. Один логін у пошту «для всіх». Спільний вхід у CRM, який знають троє. Пароль від каси в загальному чаті. Проблема не лише в тому, що такий пароль швидко «розтікається». Проблема в тому, що ви втрачаєте відповідальність: коли щось видалили, злили базу клієнтів чи перевели гроші не туди — неможливо сказати, хто це зробив.

Правило просте: у кожного співробітника — свій іменний доступ. Тоді ви бачите, хто що робив, можете відключити одну людину, не змінюючи паролі всім іншим, і даєте кожному рівно стільки прав, скільки треба для роботи. Менеджеру продажів не потрібен доступ до налаштувань сервера. Бухгалтеру не потрібні права адміністратора в рекламному кабінеті. Що менше зайвих прав — то менша площа для помилки й зловживання.

Відключення звільнених — того ж дня

Це пункт, на якому «горить» найчастіше, бо про нього забувають у метушні. Людина пішла — а її доступи лишилися живими. Пошта, CRM, спільні диски, чати, ключі від адмінки. Іноді через місяці виявляється, що колишній працівник досі бачить базу клієнтів або, гірше, хтось сторонній зайшов через його давно покинутий акаунт.

Зробіть відключення доступів обов’язковою частиною процесу звільнення — того самого дня, коли людина завершує роботу:

  • заблокуйте або видаліть її іменні акаунти в усіх сервісах;
  • змініть паролі там, де вона могла знати спільний доступ (і заразом приберіть цей спільний доступ як клас);
  • відкличте її доступ у менеджері паролів і до спільних дисків;
  • перевірте, чи не прив’язана на неї пошта, домен, платіжний кабінет чи рекламний акаунт — і переведіть на компанію.

Той самий підхід стосується підрядників і фрилансерів, яким ви колись дали доступ «на один раз». Ведіть простий список — хто, до чого й навіщо має доступ. Раз на квартал перегляньте його й приберіть зайве. Це п’ятнадцять хвилин, які рятують від найдорожчих сюрпризів.

Пошта й домен — це фундамент, бережіть їх окремо

Ще один принцип, який власники недооцінюють: пошта й домен — не просто «сервіси зі списку». Це фундамент, на якому тримається все інше. Через пошту відновлюють паролі до всіх акаунтів. Через контроль над доменом можна перенаправити ваш сайт і листи на себе. Тому саме на цих двох речах має бути найсильніший захист — унікальний пароль, обов’язковий другий фактор, іменний доступ лише для тих, кому це справді потрібно, і жодного «спільного» входу.

Окремо переконайтеся, що акаунт домену й хостингу оформлений на компанію чи на власника особисто, а не на випадкового підрядника, який колись «допомагав із сайтом». Інакше в потрібний момент виявиться, що ключ від вашого бізнесу — у чужих руках.

Короткий підсумок чек-листа

Пройдіть по пунктах і чесно позначте, що вже зроблено:

  • 2FA увімкнено на пошті, банку, домені/хостингу, соцмережах і ключових сервісах;
  • резервні коди відновлення збережено в надійному місці;
  • усі паролі — в менеджері паролів, кожен унікальний, головний пароль ніде не повторюється;
  • жодних спільних акаунтів — у кожного свій іменний доступ із мінімально потрібними правами;
  • відключення доступів вписане в процес звільнення й виконується того ж дня;
  • є список «хто до чого має доступ», який переглядають раз на квартал;
  • пошта й домен оформлені на компанію та захищені найсильніше.

Якщо навпроти більшості пунктів поки що порожньо — це нормальна відправна точка, і закривати їх варто саме в такому порядку: спершу пошта й гроші, потім усе інше.

Ми в LPF з 2018 року будуємо й супроводжуємо цифрові системи для українського бізнесу на власній інфраструктурі, тож наводити лад у паролях і доступах — звична частина роботи. Якщо хочете, щоб хтось пройшов цей чек-лист разом із вами й закрив дірки без зупинки бізнесу — почніть із короткої розмови, і ми підкажемо, з чого почати саме у вашому випадку.