Які системи не можна втратити навіть на один день

Власник починає не з переліку програм, а з операцій, які приносять гроші. Для більшості підприємств критичними будуть банківський кабінет, корпоративна пошта, бухгалтерська програма, CRM, сайт, хмарне сховище та засоби електронного підпису. Директор визначає основного користувача, адміністратора і резервну людину для кожного такого сервісу, щоб відсутність одного працівника не зупинила продажі або оплату постачальнику.

Найнебезпечніші прогалини часто коштують дешевше за складні системи захисту: спільний пароль, обліковий запис звільненого працівника, відсутність багатофакторної автентифікації або домен, оформлений на особисту адресу підрядника. Власник прибирає ці залежності першими й залишає основні права на реквізитах підприємства. Так директор може змінити виконавця або відновити доступ без переговорів із колишнім працівником.

Резервна копія потрібна там, де відновлення вручну буде довгим або дорогим: бухгалтерія, договори, клієнтська база, замовлення, технічні файли. Технічний спеціаліст налаштовує копіювання, а директор періодично отримує підтвердження, що з копії справді можна відкрити дані й продовжити роботу. Для критичних відомостей резерв не повинен залежати від того самого облікового запису, втрата якого стала причиною проблеми.

Окремо власник захищає платежі. Якщо постачальник раптом повідомив нові реквізити, бухгалтер або директор підтверджує зміну через раніше відомий номер телефону чи інший незалежний канал. Одне таке правило часто корисніше за довгу інструкцію: шахрай, який отримав доступ до листування, не зможе непомітно підмінити рахунок і направити оплату на інший рахунок.

Хто має доступ і що відключити в день кадрової зміни

Кожний працівник отримує тільки ті права, які потрібні для його роботи. Менеджер працює з CRM, бухгалтер — з обліком і платіжними документами, системний адміністратор — із технічними налаштуваннями. Директор окремо погоджує доступ до банкінгу, електронного підпису, корпоративної пошти керівника та адміністративних кабінетів. У день звільнення або зміни підрядника ці права закриваються, а не залишаються «до наступної перевірки».

Для команди достатньо кількох правил, які реально виконуються: особистий робочий обліковий запис для кожної людини, багатофакторна автентифікація для важливих сервісів, заборона передавати КЕП іншому працівнику та обов'язкове повідомлення про підозрілий лист або втрачений пристрій. Директор періодично переглядає перелік доступів, особливо після кадрових змін і завершення проєктів із зовнішніми виконавцями.

У договорі з IT-підрядником власнику важливо прямо визначити, кому належать домен, пошта, хмарні кабінети, вихідні файли та резервні копії, скільки часу виконавець має на реакцію і як передає доступ після завершення договору. Підрядник може адмініструвати систему, але ключові облікові записи та спосіб їх відновлення залишаються під контролем підприємства.

Для дистанційної роботи директор окремо вирішує, які дані можна відкривати з особистого пристрою. Працівнику, який має доступ до клієнтської бази, платежів або комерційної інформації, доцільно видати робочий комп'ютер і визначити, де дозволено зберігати файли. Чим дорожчими є дані для бізнесу, тим меншим має бути коло людей і пристроїв, через які до них можна дістатися.

Що робити в першу годину після інциденту

При підозрі на кібератаку працівник одразу повідомляє визначену відповідальну людину. Якщо є ризик шахрайського платежу, директор або бухгалтер швидко зв'язується з банком; якщо втрачено корпоративну пошту — відновлює доступ і перевіряє пов'язані сервіси; заражений комп'ютер відключають від робочої мережі до огляду технічним фахівцем. Перші конкретні дії часто зберігають більше грошей, ніж великий план, який ніхто не відкриває.

Контакти банку, технічного спеціаліста та відповідальних працівників зберігають також поза корпоративною поштою. Власник або інша довірена особа має резервні способи відновлення адміністративних прав. Тоді втрата телефона, блокування поштового облікового запису чи відсутність одного адміністратора не позбавляє директора можливості керувати критичними сервісами.

УБК може перевірити корпоративні повноваження, договори з підрядниками, конфіденційність і правила роботи з персональними даними; технічний фахівець перевіряє налаштування, резервне копіювання, оновлення та захист облікових записів. Власник отримує перелік конкретних змін із відповідальними людьми й строками, а не абстрактний звіт про «рівень кібербезпеки».

Після зміни IT-підрядника директор приймає домен, корпоративну пошту, хмарні кабінети, резервні копії та технічну документацію. Новому виконавцю видається окремий доступ, а права попереднього припиняються. Для малого бізнесу це особливо важливо: одна зовнішня людина нерідко має адміністративні права одночасно до сайту, пошти, хмари й резервних копій.

Раз на рік власнику корисно порівнювати витрати на захист із реальною ціною простою, втрати даних і шахрайського платежу. Такий розрахунок допомагає спрямувати бюджет на резервування, доступи та відновлення тих систем, без яких підприємство не зможе приймати замовлення, платити й виконувати договори.