Сотруднику магазина самокатов приходит письмо от знакомого поставщика: «Срочно оплатите доставку», но номер счёта новый. Имени отправителя здесь недостаточно: адрес можно подделать, а чужую переписку — продолжить после взлома почты. Не открывайте вложение и не переводите деньги, пока не подтвердите изменение реквизитов по номеру телефона, который был у вас раньше.
В небольшой команде заказы, контакты родителей, сайт и рабочая почта часто находятся в руках нескольких человек. Поэтому важно заранее договориться, у кого есть доступ к каждому сервису и что делать с ним при смене сотрудников или подозрительном сообщении.
Разделите доступы по задачам
Общий логин для сайта или почты удобен ровно до тех пор, пока не нужно выяснить, кто изменил цену, выгрузил заказы или потерял телефон с открытой сессией. Дайте каждому сотруднику свою учётную запись и права по его задачам. Тому, кто отвечает родителям на вопросы о размерах самокатов, обычно не нужен доступ к платежам и настройкам сервера.
Запишите, какими сервисами пользуется команда: почтой, сайтом, системой заказов, облачными файлами, мессенджерами, рекламными кабинетами. Для каждого укажите владельца, администраторов и способ восстановления доступа. Список храните в защищённом рабочем пространстве, но не записывайте туда пароли. Раз в несколько месяцев и сразу после ухода коллеги проверяйте активные учётные записи, а заодно — кому принадлежат резервные адреса и номера телефонов.
Пароли и дополнительное подтверждение входа
Для каждого сервиса придумайте отдельный длинный пароль. Если почта и панель сайта защищены одним паролем, утечка на любой из этих площадок поставит под угрозу обе. Менеджер паролей поможет создавать разные сочетания и не держать их в общей таблице или переписке. Для самого менеджера нужен надёжный основной пароль; порядок восстановления доступа лучше проверить заранее.
В первую очередь включите многофакторную аутентификацию для почты, менеджера паролей, сайта, облака и аккаунтов с заказами. Если сервис даёт выбор, приложение с кодами или аппаратный ключ обычно лучше защищают от перехвата, чем SMS. Резервные коды сохраните в защищённом месте, к которому при потере телефона сможет обратиться уполномоченный сотрудник. Одноразовый код никому не называйте — настоящей службе поддержки он не нужен.
Проверяйте просьбы, а не только отправителей
Мошенническое письмо не обязательно выдаёт себя ошибками. В нём могут быть название вашего магазина, подпись знакомого поставщика и ссылка на «обновлённый договор». Сначала посмотрите, чего от вас хотят: открыть файл, ввести пароль, передать код, оплатить счёт или срочно сменить реквизиты. Если неожиданное сообщение ведёт на страницу входа, не переходите по ссылке — откройте сервис через привычную закладку или приложение.
Для важных действий введите проверку по другому каналу. Новые платёжные данные, крупный возврат или выдачу прав администратора подтверждайте звонком по номеру из ваших контактов, а не из свежего письма. Просьба якобы от руководителя «сделать немедленно и никому не говорить» — причина остановиться.
Коллегам должно быть не страшно сообщать о сомнениях. Можно, например, переслать подозрительное письмо ответственному, не открывая вложения, или написать в отдельный рабочий чат. Если человек уже открыл ссылку или ввёл пароль, пусть скажет об этом сразу: тогда можно быстрее закрыть сеансы, сменить пароль и проверить, не ушли ли письма от его имени.
Обновляйте устройства и отделяйте рабочее от личного
Обновления браузера, операционной системы, приложения для заказов и плагинов сайта исправляют в том числе уязвимости. Где возможно, включите автоматическую установку. Для крупных изменений на сайте назначьте человека, который перед обновлением проверит совместимость. Неиспользуемые плагины и приложения удаляйте: отключить функцию не всегда достаточно.
На рабочих ноутбуках и телефонах включите блокировку экрана, доступное шифрование и возможность удалённого выхода из аккаунтов. Таблице с номерами покупателей не место на общем семейном компьютере. Если сотрудник работает на личном устройстве, заранее решите, какими приложениями он пользуется, где держит рабочие файлы и как будет закрыт доступ после завершения сотрудничества.
Для передачи чувствительных данных в публичной сети Wi-Fi нужна дополнительная защита. Проще воспользоваться мобильной сетью или проверенным защищённым соединением организации. В офисе тоже не стоит полагаться только на локальную сеть: разблокированный компьютер у стойки и открытые на экране заказы видят не одни сотрудники.
Сокращайте объём данных и делайте проверяемые копии
Собирайте только сведения, которые нужны для заказа и обслуживания. Если для подбора детского самоката хватает возраста и роста ребёнка, не просите другие личные данные без понятной причины. Ограничьте доступ к контактам покупателей, определите срок хранения и удаляйте выгрузки после разовых задач. Чем меньше копий клиентской базы остаётся в почте и личных папках, тем проще её защитить.
Резервная копия имеет смысл, если из неё получается восстановить работу. Решите, что копировать: сайт, каталог, заказы, важные документы, настройки. Храните копии отдельно от основного сервиса и ограничьте доступ к ним. Периодически пробуйте восстановление на тестовом экземпляре: видны ли заказы, открываются ли файлы, сколько времени занимает процесс. Одного сообщения «копирование выполнено» мало.
Для сайта копии связаны и с выбором инфраструктуры. Если команда подбирает площадку или пересматривает договор с провайдером, стоит отдельно изучить требования к хостингу, ограничения и резервное копирование сайта.
Подготовьте короткий план на случай инцидента
Когда доступ к почте уже потерян, поздно искать телефон поддержки и вспоминать, где лежат резервные коды. Запишите порядок действий заранее и держите его доступным без основного рабочего аккаунта. Достаточно контактов ответственных, перечня важных сервисов и первых шагов для типовых случаев.
- Подозрительный вход: сменить пароль с проверенного устройства, завершить активные сеансы, проверить способы восстановления и правила пересылки писем.
- Потерянный телефон или ноутбук: сообщить ответственному, отозвать доступ к рабочим сервисам и, если возможно, удалённо заблокировать устройство.
- Неожиданное изменение на сайте: ограничить доступ к панели управления, сохранить сведения о событии и обратиться к техническому специалисту, прежде чем удалять возможные следы.
- Возможная утечка данных: выяснить, какие сведения затронуты, зафиксировать факты и проверить обязанности по уведомлению клиентов и уполномоченных органов.
Назначьте основного ответственного и человека на замену. Возвращайтесь к плану после смены сотрудников, сервисов или подрядчиков. Раз в квартал проведите короткую тренировку: пусть коллеги покажут, как сообщат о неожиданной просьбе сменить реквизиты, не отправляя в общий чат пароль или данные клиента.
Встройте безопасность в рабочую рутину
Привяжите проверки к обычным рабочим событиям. Новому сотруднику выдайте личные доступы и покажите, куда писать о подозрительных запросах. При смене обязанностей пересмотрите права, при увольнении — закройте сеансы и отзовите доступ. Заодно проверьте общие устройства и учётные записи, где могли остаться старые способы восстановления.
Раз в месяц ответственному стоит проверить, установлены ли критичные обновления, включено ли дополнительное подтверждение входа у всех администраторов, нет ли лишних пользователей и создаются ли резервные копии. Если за один подход это не сделать, распределите пункты между владельцами сервисов и отмечайте дату каждой проверки.
Начать можно с рабочей почты и панели сайта. Найдите учётные записи людей, которые больше не работают с заказами, согласуйте отключение с ответственным. Затем проверьте, что у действующих администраторов есть собственные логины и резервный способ входа.
