Основы кибербезопасности для малого бизнеса: без лишних слов

Большинству малых предприятий не нужен центр операций безопасности. Им нужно пять вещей, сделанных правильно, и доказательство того, что они это сделали. На этом построена вся система Cyber Essentials, программа сертификации, поддержанная правительством Великобритании и управляемая IASME Consortium от имени NCSC. Она дешевая, на базовом уровне это самооценка, и она напрямую соответствует атакам, которые на самом деле попадают в малые организации: фишинг, кража учётных данных, непатченное ПО и неправильно настроенные брандмауэры.

Пять средств контроля, без лишнего

Cyber Essentials проверяет ровно пять технических областей, и вопросник построен вокруг них.

• Брандмауэры и маршрутизаторы — граничные устройства должны иметь изменённые пароли по умолчанию и ненужные сервисы отключены.
• Безопасная конфигурация — никаких активных учётных записей администратора по умолчанию, никакого неиспользуемого ПО на машинах и отключённые функции автозапуска, которые позволили бы вредоносу выполняться без нажатия.
• Контроль доступа пользователей — учётные записи должны следовать принципу наименьших привилегий, права администратора отделены от повседневных учётных записей, и есть процесс удаления доступа, когда кто-то уходит.
• Защита от вредоноса — каждое устройство нужно антивредоносное ПО, список разрешённых приложений или изоляцию, применённые последовательно, а не только на машинах, которые кто-то помнил настроить.
• Управление обновлениями безопасности — патчи для высоких или критических уязвимостей нужно установить в течение 14 дней после выпуска, во всех операционных системах, браузерах и любом установленном ПО, которое использует компания.

Это окно в 14 дней для патчей — то, что чаще всего подводит людей. Это не