Доступи до грошей і робочих систем

Банківський кабінет, корпоративна пошта, бухгалтерська програма, CRM, інтернет-магазин, хмарні файли та облікові записи адміністраторів безпосередньо впливають на продажі й платежі. Для кожної системи доцільно мати окремого відповідального працівника, резервний контакт і зрозумілий порядок відновлення доступу. Адміністративні права залишаються у самого підприємства, навіть коли щоденне обслуговування виконує зовнішній IT-підрядник.

Працівник отримує власний обліковий запис і доступ лише до тієї інформації, яка потрібна за посадою. Для банку, КЕП, основної пошти та адміністративних кабінетів доцільна багатофакторна автентифікація. Після зміни посади або припинення роботи права користувача закриваються в день кадрової зміни, а корпоративні файли й листування залишаються у підприємства.

Окреме правило потрібне для платежів. Зміна реквізитів постачальника, значна сума або незвичне термінове доручення підтверджуються другим каналом зв’язку. Такий порядок захищає гроші без складної внутрішньої бюрократії й дає бухгалтеру чітку підставу для проведення платежу.

Окремо фіксуються власники домену, номера телефону для відновлення, основної поштової скриньки та хмарних кабінетів. Реєстраційні дані й резервні контакти залишаються у директора або іншої уповноваженої особи підприємства. Це дозволяє змінити технічного підрядника без втрати домену, пошти, реклами або клієнтської бази.

Резервні копії та договори з IT-виконавцями

Резервна копія бухгалтерії, договорів, пошти та клієнтських даних зберігається окремо від основної робочої системи. Для даних, які змінюються щодня, копії роблять частіше; для статуту, корпоративних рішень і постійних договорів достатній інший графік. Відновлення кількох файлів або тестової бази показує реальний строк повернення підприємства до роботи.

У договорі з IT-виконавцем варто прямо назвати системи, які він обслуговує, строк реакції, адміністративні права, порядок передання доступів і спосіб отримання даних після завершення співпраці. Домен, основна корпоративна пошта, хмарні кабінети та резервні копії доцільно оформлювати на підприємство або під його прямий контроль.

Персональні дані клієнтів і працівників отримують лише ті особи, яким вони потрібні для роботи. Комерційні файли також розподіляються за посадовими повноваженнями. Працівникам достатньо короткої інструкції: власний обліковий запис, окремий пароль, другий канал для незвичного платежу, повідомлення відповідальному працівнику про підозрілий лист або втрату пристрою.

Дії після кіберінциденту

Після втрати доступу або підозрілого платежу важлива швидка передача інформації відповідальній особі. Для банківського інциденту підприємство одразу зв’язується з банком; для захопленої пошти змінюються облікові дані та пов’язані доступи; заражений пристрій відключається від робочих систем, а дані повертаються з чистої резервної копії.

Контакти банку, IT-виконавця, директора і резервного адміністратора зберігаються також поза основною корпоративною поштою. Резервні коди й порядок відновлення доступу доступні двом уповноваженим особам. Один втрачений телефон або пароль у такій схемі зупиняє окремий доступ, а підприємство продовжує платежі, продажі й роботу з клієнтами.

Закон України №2163-VIII визначає державні засади кібербезпеки та окремі вимоги для відповідних категорій суб’єктів. Для звичайного підприємства результат дають розподіл доступів, резервні копії, договори й відповідальні люди. УБК може підготувати корпоративні правила, договірні положення та комплект документів для персональних даних, а технічний спеціаліст реалізує погоджені налаштування.

Час події, листи, повідомлення банку, номери платежів і службове листування зберігаються окремим комплектом. За цими матеріалами директор може звернутися до банку, провайдера, страховика або правоохоронного органу залежно від характеру події. Відповідальна особа одночасно фіксує, які доступи вже змінені та які системи повернуті до роботи.