10 Mga hakbang sa Cybersecurity na dapat gawin ng iyong maliit na negosyo ngayon

Ang National Small Business Week ay isinasagawa, at ang mga pagdiriwang ay hindi nagtagal upang matugunan ang isa sa mga pinaka-nakasisilaw at kailanman-kasalukuyan na mga isyu para sa mga maliliit na midsize na mga negosyo (SMBs): cybersecurity. Ang Maliit na Pangangasiwa ng Negosyo (SBA) ay ang ahensya ng gobyerno ng US na nakatuon sa pagbibigay ng kongkretong tulong, pagsasanay, at mga rekomendasyon na maaaring mailagay agad ang mga maliliit na negosyo sa kanilang pang-araw-araw na operasyon. Sa puntong iyon, sa halip na mag-alok ng mga uso sa seguridad ng pie-in-the-sky, ang SBA cybersecurity panel ay nagbigay sa mga SMBs kongkreto na mga tip, mapagkukunan, at mga hakbang na maaari nilang gawin upang mapagaan ang kahinaan ng seguridad at maglagay ng isang komprehensibong diskarte sa seguridad sa lugar.

Pinagpalit ng Deputy Deputy Administrator na si Doug Kramer ang panel ng mga dalubhasa sa seguridad habang tinalakay nila ang pinakamalaking peligro sa seguridad na kinakaharap ng mga maliliit na negosyo, at ang pinakamahalagang hakbang na maaari nilang gawin upang maprotektahan ang kanilang mga imprastraktura at data, batay sa ulap o pisikal. Kasama sa panel ang Bill O'Connell, Bise Presidente ng Global Trust Assurance sa ADP; Stephen Cobb, Senior Security Researcher sa ESET North America; Si Matt Littleton, Direktor ng East Regional ng Cybersecurity at Azure Infrastructure Services sa Microsoft; at Patricia (Pat) Toth, Supervisory Computer Scientist sa Computer Security Division ng National Institute of Standards and Technology (NIST).

Pinag-usapan ng mga panelista ang tungkol sa mga isyu sa cybersecurity na nagmula sa phishing, ransomware, at kung paano mahawakan ang isang paglabag sa kung paano dapat lumapit ang mga maliliit na negosyo sa multifactor authentication (MFA), pagsasanay at mga patakaran ng seguridad ng empleyado, kung ano ang hahanapin sa isang pinamamahalaang kontrata ng service provider (MSP) na kontrata, at kung kailan tumawag sa isang consultant ng seguridad sa IT.

Ito ay hindi lamang tungkol sa empleyado at customer credit card at banking info, ayon kay Kramer, ngunit ang mga negosyo ng data ng intelektwal na ari-arian ay nasa lahat ng dako, mula sa email hanggang sa pag-iimbak ng ulap, at ang mga pag-atake sa pag-atake na maaaring gumawa ng isang maliit na negosyo ang mahina na link at isang madaling target ang supply chain. Ayon sa SBA, sinabi ni Kramer, halos kalahati ng lahat ng maliliit na negosyo ang nabiktima ng ilang antas ng cybercrime, at ang average na gastos ng pag-atake ay humigit-kumulang $ 21, 000.

"Ang sinumang nagsisimula ng isang maliit na negosyo ay nagtatrabaho nang husto hangga't maaari, nang walang labis na oras o pera upang makitungo sa isang hamon sa cybersecurity na maaaring mas malaki kaysa sa inaasahan at nangangahulugang buhay o kamatayan para sa isang maliit na negosyo, " ang sabi ni SBA's Kramer bilang panel nagsimula. "Ang banta ng panghihimasok sa cyber at pagnanakaw ay tunay tunay. Ang mga maliliit na negosyo ay sumusukat sa mga assets at imbentaryo sa iba't ibang paraan, ngunit nakaupo sila sa isang kayamanan ng impormasyon."

1. Seguridad ng ulap: Gawin at Mga Don

Para sa mga dahilan ng gastos at kaginhawaan, kailangang isaalang-alang ng lahat ng mga SMB na gumawa ng isang paglipat sa ulap, ngunit ang paglipat ay kailangang mangyari nang maingat. Tinalakay ng mga panelista ang ilan sa mga pinakamahalagang pagsasaalang-alang at hadlang.

• Gawin: Hindi kapanipaniwalang Cloud Backup

  "Ang ulap ay may maraming mga pakinabang at panganib, ngunit isang bagay na dapat gawin ng lahat ng SMB ay backup, " sabi ng Cobb ng ESET. "Ang kasalukuyang pag-backup ng lahat ng mga file ay ang pinakamahusay na proteksyon laban sa ransomware at isang kritikal na bahagi ng iyong postura ng cybersecurity at depensa. Dapat mo pa ring i-back up sa isang hard drive at mag-imbak ng isang kopya sa isang lugar na ligtas sa isang hiwalay na lokasyon, ngunit pinapayagan ka ng ulap na i-back up palagi. "

• Gawin: Magbayad para sa Premium Cloud Security

  "Ang mga maliliit na may-ari ng negosyo ay may kamalayan sa presyo, ngunit ang iba pang mga kadahilanan ay kailangang makuha ang tamang dami ng timbang, " sabi ng O'Connell ng ADP. "Ang ilang mga bagay ay dapat na gastos ng mas maraming pera para sa isang mas mataas na antas ng serbisyo at seguridad ay isa sa mga bagay na iyon. Huwag lamang gumawa ng isang desisyon batay sa presyo."

• Huwag: Lagdaan lamang ang Kontrata ng MSP

  "Suriin ang kontrata na iyon, " sabi ng Cobb ng ESET. "Maaari kang mag-outsource ng imbakan o backup, ngunit hindi mo mai-outsource ang responsibilidad. Kung sinabi ng may-ari ng SMB na ang tagapagbigay ng IT ay mayroong lahat ng data ng customer at empleyado - ang iyong data - responsable ka pa rin."

  
  "Pagdating sa hindi lamang ang kontrata ngunit ang data, gawin ang iyong pananaliksik upang makita kung mayroong anumang mga isyu sa seguridad, " idinagdag ni O'Ponnell ng ADP. "Para sa isang SMB, ang kontrata ay isang mahusay na bahagi ng linya ng pagtatanggol. Suriin ang mga SLA at i-access ang mga patakaran ng data ng tier. Gaano katagal ang panatilihin ng mga MSP ang data? Ano ang ginagawa nila dito?"

• Huwag: Mag-iwan ng Hindi Ginamit na Mga Tampok sa imprastraktura ng MSP

  "Kung lumalakad ka sa isang kapaligiran sa ulap, maaari mong ilipat ang ilan sa responsibilidad na iyon. Wala na kami sa isang arena ng platform kung saan kailangan mong mag-alala tungkol sa hindi pagkakaroon ng mga kawani upang tumugon sa isang isyu o mag-patch ng isang server, " sabi ng Microsoft Littleton. "Iyon ang kung saan ang service provider ay maaaring humakbang at mahawakan iyon para sa iyo. Kailangan mong maunawaan kung ano ang iyong makukuha mula sa isang paninindigan ng kontrata at kung anong mga serbisyo ang inaalok ng cloud provider."

2. Pagpapatunay ng Multifactor: Gawin Ito Lang

"Mula sa parehong personal at isang pananaw sa negosyo, ang MFA ay isang bagay na maaari mong gawin kaagad. Ang mga negosyo ay walang dahilan na hindi gawin ito kaagad, " sabi ng Littleton ng Microsoft. "Ito ay simple sa buong stack ng produkto ng Microsoft; pareho rin para sa Google, Yahoo, pinangalanan mo ang email provider. Tumingin sa iyong mga setting ng seguridad at hiniling ang bawat empleyado na ipasok ang kanilang numero ng cell phone bilang pangalawang kadahilanan. Kung gayon, kahit na kung ako ay isang nag-atake at ninakaw ko ang iyong password, hindi ko magagamit ito maliban kung ninakaw ko ang iyong cell phone at alam ang PIN. "

3. Kailan Tumawag sa isang IT Security Consultant

" May mga bagay na hindi mo magagawa mag-isa bilang isang maliit na may-ari ng negosyo, " sabi ng O'Connell ng ADP. "Para sa napakahalagang mga kontrata, nakakakuha ka sa labas ng ligal na payo. Para sa taunang at quarterly financials, mayroon kang isang accountant. Same para sa kadalubhasaan sa seguridad. Kapag kailangan mong subukan ang isang site upang matiyak na ligtas ang web, o magsagawa ng isang pagtatasa ng peligro, ito ay mahusay na ginugol ng pera kung wala kang kadalubhasaan upang gawin ito sa iyong sarili. Hindi ka gumagawa ng kuryente o ang pagtutubero sa gusali ng iyong sarili; tungkol ito sa pag-alam kung kailan ka nangangailangan ng tulong. "

4. Ang seguridad ay Bahagi ng Trabaho ng Lahat

"Hindi ka maaaring umasa lamang sa isang tao sa isang kumpanya na 10-tao; lahat ay kailangang magkaroon ng isang mahusay na pag-unawa sa cybersecurity at kung ano ang mga panganib ay para sa samahan, " sabi ng NIST's Toth. "Kung hindi nila, ang kanilang trabaho ay maaaring nasa panganib kung mayroong paglabag at ang negosyo ay hindi mababawi."

"Gawing seguridad ang isang bahagi ng trabaho ng bawat tao, " idinagdag ng O'Ponnell ng ADP. "Ang taong nagpapatakbo ng pananalapi - ano ang kailangan nilang gawin araw-araw? Sa pisikal na panig, sino ang isa na nakakandado ng pinto sa gabi? Kailangang malaman ng bawat isa ang mga sangkap at kung paano umaangkop ang kanilang papel sa pangkalahatang seguridad ng negosyo."

5. Huwag Maging Link sa Chain ng Supply ng Chain

Tulad ng ipinaliwanag ng Kramer ng SBA, wala nang paghahati sa pagitan ng mga SMB at negosyo. Ang mga maliliit na negosyo ay alinman ay nais na mapalago at masukat, o sila ay naka-plug sa isang chain ng supply ng negosyo para sa software at serbisyo. Ang problema ay, ang mga patakaran sa seguridad ng SMB ay maaaring hindi magkatugma sa isang kumpanya ng supply chain na kanilang hinahanap na kapareha.

"Kapag nakuha ng isang SMB ang kanilang unang malaking kontrata sa isang malaking kumpanya at hiniling nila na makita ang iyong mga patakaran sa seguridad at programa ng kamalayan, hindi ka dapat mag-scrambling upang suriin ang lahat sa checklist, " sabi ng CETB ng ESET. "Ang panganib ng chain chain pataas at pababa ay isang malaking pag-aalala. Kung ang isang SMB ay nakikipag-ugnay nang digital sa isang tagapagtustos, suriin ang mga ito. Kailangan mong magkaroon ng mga patakaran sa seguridad at pagsasanay sa lugar upang hindi ito maging isang balakid."

"Walang negosyo ay napakaliit na mai-target sa cyber arena, lalo na mula sa pamamahala ng supply chain, " sabi ng Littleton ng Microsoft. "Maraming mga paglabag ay hindi nagsisimula sa tuktok; nagsisimula sila sa isang lugar sa supply chain at ang mga umaatake ay nagtatrabaho hanggang sa panghuli target."

Sinabi ng NIST's Toth sa susunod na dalawang taon, makikita mo ang mga ahensya ng gobyerno na nagsisimulang mag-publish ng mga patakaran para sa pag-access sa mga sistema ng supply chain. Samantala, sinabi niya na ang mga SMB ay kailangang magkaroon ng plano sa lugar.

"Napakahalaga ng pagpaplano upang malaman kung ano ang talagang mahalaga; ang isang bagay na kailangan mong protektahan, at kung paano mapapatakbo ang iyong negosyo kung hindi ito naa-access, " sabi ng NIST's Toth. "Ang mga SMB ay kailangang magkaroon ng mga plano, polisa, at mga pamamaraan sa lugar. Hindi isang malaking diskarte sa pamahalaan; maaari itong maging simple tulad ng mga patakaran sa iyong handbook ng empleyado na nagsasabi kung ano ang magagawa at hindi maaaring gawin sa internet, kung paano makita ang isang pag-atake sa phishing., at kung kailan buksan at hindi buksan ang mga link at mga kalakip. "

6. Tratuhin ang Email tulad ng isang Postcard, Hindi isang Envelope

"Ang unang bagay na gawin bilang isang maliit na negosyo na may email ay pag-isipan kung ano ang nasa loob nito. Kung pupunta ako upang i-hack ang impormasyon ng kumpanya ng isang tao, ang kanilang email ay madalas na mayroong lahat ng magagandang bagay, " sabi ng Cobb ng ESET. "Ang mga tao ay madalas na hindi nag-iisip tungkol sa kung ano ang iniiwan nila doon. Tumingin sa Sony hack; ang mga tao ay nagsasabi ng mga bagay sa email na hindi nila dapat. Ang email ay isang postkard, hindi isang selyong sobre. Itala ito sa isip. "

"Ito ay nagiging higit pa tungkol sa kakayahang kontrolin ang data, " sabi ng Littleton ng Microsoft. "Maaaring nagkakahalaga ng pera upang magamit ang isang naka-encrypt na serbisyo sa email na may pag-filter na papasok na binabawasan ang iyong pag-atake. Kung iniwan mo ang iyong numero ng credit card sa isang email, tatanungin ng serbisyo kung nais mo bang ipadala iyon, at pagkatapos ay awtomatikong i-encrypt hindi ang bilang lamang ngunit ang buong email. Habang sumusulong ang industriya, ang mga serbisyong ito ay nagiging mas makatwiran at karaniwan. "

7. Laging Iulat ang Mga Insidente

Ipinaliwanag ng SBA's Kramer na, kapag ang isang maliit na negosyo ay nasira o naabot sa isang phishing scam o kahilingan ng ransomware, kailangan nilang malaman kung sino ang tatawagin. Sinabi ng Cobb ng ESET kung ang mga maliliit na negosyo ay hindi iniulat ito sa pulisya dahil sa takot sa pagpapatupad ng batas na hindi nagtataglay ng mga mapagkukunan upang siyasatin, mananatili ang siklo.

"Mayroon kaming isang kapus-palad na ikot kung saan ang pagpapatupad ng batas ay nakakakuha ng pondo batay sa naiulat na mga krimen, ngunit ang mga tao ay hindi nag-uulat ng mga krimen dahil hindi nila iniisip na ang mga pulis ay may mga mapagkukunan, " sabi ng CETB ng ESET. Kung walang nag-uulat, ang pulisya ay hindi magkakaroon ng katibayan upang magbigay ng kasangkapan sa kanilang sarili sa mga mapagkukunan upang matugunan ang mga isyung cybercrime na ito. "

"Karamihan sa mga munisipyo ay may mga yunit ng cybercrime at tutugon, " idinagdag ng NIST's Toth.

8. Magkaroon ng Plano ng Sumasagot sa Pagkakataon sa Lugar

"Hindi mo subukang ilagay ang iyong seatbelt sa gitna ng isang aksidente, " sabi ng Littleton ng Microsoft. "Kailangan mo ng isang plano na inilatag kung paano ka tutugon bago mangyari ang paglabag."

"Wala ka sa ganap na nag-iisa rin, " sabi ng Cobb ng ESET. "Ang mga serbisyong pangseguridad na binibili mo sa istante ay may karagdagang proteksyon sa ulap o sa pag-access sa supply chain. Maaaring magbigay sila ng mga serbisyo ng pagtuklas at pag-iwas sa isang antas ng antas. Kapag pinagsama ang iyong plano, siguraduhing hindi ka umaalis sa mga serbisyong pangseguridad. sa mesa na inaalok ng iyong MSP o serbisyo sa seguridad. "

9. Huwag Iwanan ang mga Nagtatapos na Loose

"Ang isang lugar na nakikita natin - kung at kailan umalis ang isang empleyado o pinaputok - ang kanilang pag-access sa system ay hindi agad natapos, " sabi ng ESET's Cobb. "Ang mga maliliit na negosyo ay nagtatrabaho sa mga taong pinagkakatiwalaan nila, at maraming mga tao na pumupunta at pumunta. Minsan hindi sila sumasailalim sa pinakamasayang kalagayan. Kung ang isang dating empleyado na may sama ng loob ay may access o kahit na mayroon pa ring pinagana ang kanilang multifactor na pagpapatunay, iyon ay isang malaking problema sa seguridad ng tagaloob na masakit na matugunan. "

10. Mga Mapagkukunang Pamahalaan at Pagsasanay

Ang pamahalaan ay gumagawa ng mga pangunahing hakbang upang matugunan ang cybersecurity. Ang White House ay naglabas ng isang balangkas ng cybersecurity mas maaga sa taong ito, at ang panukalang badyet ng badyet ng 2017 ni Obama ay naghahanap ng 35 porsyento na pagtaas sa pagpopondo (hanggang $ 19 bilyon) upang harapin ang mga pag-atake sa cybersecurity. Itinuro ng SBA's Kramer at NIST's Toth sa mga libreng mapagkukunan ng gobyerno tulad ng buong pahina ng SBA ng mga mapagkukunan ng cybersecurity para sa SMB, kasama ang mga tip at kasangkapan sa cybersecurity, isang koleksyon ng mga kurso, pagsasanay, at mga webinar.

Ang ilan sa mga pinaka-kapaki-pakinabang na mapagkukunan ay:

• Nangungunang Mga Tip sa Cybersecurity ng SBA
• SBA Online Course: Seguridad ng Cyber ​​para sa Maliit na Negosyo
• Review ng Cyber ​​Resilience Review (CRR)
• Ang Maliit na Biz Cyber ​​Planner
• SBA, NIST, at ang pinagsamang FBI ng Maliit na Business Workshops
• Ang channel ng YouTube ng SBA
• Computer Security Center Center ng NIST
• Ang mga sertipikasyon at programang pang-edukasyon ng COMPTIA upang matuto ng mga protocol ng seguridad ng MSP