Un IMM nu are nevoie de un departament IT complet ca să înceapă să își verifice securitatea. Are nevoie, în primul rând, de o imagine clară: ce conturi folosește firma, unde sunt datele importante, cine are acces, ce se întâmplă dacă un laptop se strică sau dacă un cont de email este compromis.
Un audit minim de securitate nu este un test agresiv, nu înseamnă „să spargi” propriile sisteme și nu trebuie confundat cu un pentest. Pentru o firmă mică, este o verificare ordonată a lucrurilor care chiar contează: conturi, parole, autentificare, backup, dispozitive, email, website și furnizori.
Începe cu inventarul: ce folosește firma de fapt
Primul lucru pe care trebuie să îl faci este o listă simplă. Nu într-un sistem complicat. Poate fi un document intern sau un tabel protejat. Notează conturile importante: email, contabilitate, bancă, CRM, Google Workspace sau Microsoft 365, hosting, domeniu, website, social media, platforme de facturare, aplicații de comunicare și stocare cloud.
Pentru fiecare, scrie cine are acces, cine este administrator, ce date sunt acolo și ce s-ar întâmpla dacă acel cont ar fi pierdut. Emailul principal și conturile de administrare trebuie tratate ca active critice. Dacă cineva intră în emailul firmei, poate reseta parole, poate vedea facturi, poate trimite mesaje false clienților și poate modifica discuții comerciale.
Verifică accesul, nu doar parolele
Multe firme mici au aceeași problemă: foști colaboratori, angajați plecați sau agenții vechi încă au acces la pagini, emailuri, website, reclame sau documente. Auditul minim trebuie să scoată aceste lucruri la suprafață.
Intră în fiecare platformă importantă și verifică utilizatorii. Cine nu mai lucrează cu firma trebuie eliminat. Cine are nevoie doar să posteze conținut nu trebuie să fie administrator complet. Cine se ocupă de facturi nu trebuie automat să aibă acces la toate documentele firmei.
Regula sănătoasă este simplă: fiecare persoană primește acces doar la ce îi trebuie pentru muncă.
Activează autentificarea în doi pași unde contează
Autentificarea în doi pași trebuie activată pe email, cloud, conturi financiare, social media, CRM, hosting și orice platformă de administrare. Pentru firme, este una dintre cele mai eficiente măsuri de bază.
Unde există opțiunea, folosește aplicații de autentificare, passkeys sau chei de securitate. SMS-ul este mai bun decât nimic, dar nu ar trebui să fie singura protecție pentru conturile critice. Salvează și codurile de recuperare într-un loc sigur, controlat de firmă, nu doar pe telefonul unei singure persoane.
Backup-ul trebuie testat, nu doar bifat
Mulți antreprenori cred că au backup pentru că „există ceva în cloud”. Asta nu este suficient. Auditul trebuie să răspundă la trei întrebări: ce date sunt salvate, unde sunt salvate și dacă pot fi recuperate.
Verifică backup-ul pentru documente, contabilitate, website, baze de date, fișiere de lucru și datele importante din cloud. Pentru website, backup-ul trebuie să includă fișierele și baza de date. Pentru documente critice, este util să existe și o copie separată de contul principal, astfel încât o compromitere a contului să nu șteargă tot.
Un backup netestat este doar o speranță. Alege câteva fișiere și verifică dacă pot fi restaurate.
Dispozitivele firmei trebuie curățate și actualizate
Laptopurile, telefoanele și calculatoarele folosite pentru firmă trebuie să aibă actualizări la zi, antivirus sau protecție endpoint activă, blocare cu parolă sau biometrie și criptare acolo unde este disponibilă. Nu lăsa conturile de firmă conectate pe dispozitive personale vechi sau pe laptopuri la care au acces mai multe persoane.
Dacă un angajat pleacă, accesul lui nu se închide doar din email. Trebuie verificate și dispozitivele, aplicațiile mobile, sesiunile active și fișierele sincronizate.
Emailul și website-ul merită o verificare separată
Emailul este una dintre cele mai atacate zone într-o firmă. Verifică dacă există redirecționări suspecte, reguli automate necunoscute sau conturi secundare uitate. Dacă firma folosește domeniu propriu, cere persoanei care administrează domeniul să verifice setările SPF, DKIM și DMARC. Acestea ajută la reducerea abuzului prin emailuri false trimise în numele firmei.
Pentru website, verifică actualizările, pluginurile, tema, backup-ul, certificatele SSL și conturile de administrare. Dacă site-ul este pe WordPress, șterge pluginurile nefolosite și păstrează doar extensii de încredere.
Încheie auditul cu un plan scurt
La final, nu ai nevoie de un raport de 40 de pagini. Fă o listă cu trei categorii: probleme urgente, lucruri de îmbunătățit și lucruri deja în regulă. Urgente sunt conturile fără autentificare în doi pași, accesul foștilor colaboratori, lipsa backup-ului, parolele refolosite și conturile administrator fără control.
Un audit minim bun nu rezolvă totul într-o zi. Dar îți arată unde ești vulnerabil. Pentru un IMM fără echipă IT internă, acesta este cel mai important pas: să nu mai funcționezi pe presupuneri. Iar dacă firma lucrează cu date sensibile, plăți, volume mari de clienți sau sisteme critice, merită implicat un specialist extern pentru verificări mai profunde.
Surse folosite
- ENISA – Cybersecurity guide for SMEs: 12 steps to securing your business
- NCSC UK – Small organisations guide to cyber security
- CISA – Cyber Guidance for Small Businesses și recomandări privind MFA pentru IMM-uri
- DNSC – Ghid practic pentru managementul riscurilor cibernetice
