Большинство проблем безопасности сайтов, с которыми сталкивается малый бизнес, — не изощрённые атаки. Это цифровой эквивалент незапертой двери — слабый пароль, повторно используемый на пяти аккаунтах, софт, не обновлявшийся два года, плагин, установку которого никто не помнит. Ничего из этого не требует выделенного ИТ-отдела для исправления; нужен короткий список привычек, соблюдаемых последовательно.
Пароли и доступ — первая линия защиты
Повторно используемый пароль — самый частый способ взлома аккаунта: не потому, что взломан сам сайт, а потому, что пароль утёк где-то совершенно в другом месте и был опробован на всём остальном, чем пользуется владелец этого аккаунта. Менеджер паролей и уникальные пароли для каждого аккаунта закрывают большую часть этой бреши почти без постоянных усилий после однократной настройки.
Двухфакторная аутентификация на всём, что управляет сайтом — аккаунте хостинга, системе управления контентом, регистраторе домена, — добавляет вторую проверку, останавливающую подавляющее большинство автоматизированных попыток взлома, полагающихся на то, что одного пароля достаточно. Это пятиминутная настройка на аккаунт, и это одна из мер безопасности с наилучшей отдачей, доступных бизнесу вообще без технической команды.
Доступ также стоит периодически пересматривать: бывший сотрудник или старый подрядчик, у которого всё ещё есть учётные данные, — это дверь, о незапертости которой никто не помнит. Удаление доступа по завершении чьей-то роли должно быть стандартным шагом, а не запоздалой мыслью.
Поддержание софта в актуальном состоянии
Сайт, построенный на системе управления контентом, наборе плагинов или любом стороннем ПО, несёт постоянное обязательство: эти компоненты получают патчи безопасности, и сайт, который никогда их не применяет, работает с известными, опубликованными уязвимостями, которые может найти кто угодно. Дело здесь не столько в одном конкретном обновлении, сколько в рутине — проверять и применять обновления по регулярному графику, а не оставлять сайт нетронутым между редизайнами, когда большая часть этого и устаревает.
Резервные копии: мера, которая важна после того, как что-то уже пошло не так
Все остальные меры в этом списке — о профилактике. Резервные копии — о том, что происходит, когда профилактика всё равно не срабатывает, а рано или поздно что-нибудь да случится, как бы аккуратен ни был бизнес. Актуальная, проверенная резервная копия, хранящаяся отдельно от рабочего сайта, превращает потенциальную катастрофу в послеобеденное восстановление файла. Без неё тот же инцидент может означать пересборку сайта с нуля, со всем, что на нём было.
Слово «проверенная» важно не меньше, чем «актуальная». Резервная копия, которую никогда реально не восстанавливали, — это копия, в реальной работоспособности которой никто не может быть уверен, и первый раз обнаружить, что она не работает, не должен приходиться на настоящий инцидент.
Что не обязательно делать
Полномасштабные корпоративные инструменты безопасности, выделенная команда мониторинга или формальный аудит безопасности — не то, что нужно большинству сайтов малого бизнеса в первую очередь, и отношение к ним как к предпосылкам часто означает, что ничего не делается, пока бизнес ждёт бюджет или экспертизу, которую он может никогда не выделить. Горстка мер выше — уникальные пароли, двухфакторная аутентификация, актуальный софт и проверенная резервная копия — покрывает подавляющее большинство реальных инцидентов, действительно случающихся с сайтами малого бизнеса, и ни одна из них не требует специальных технических знаний для внедрения.
Почему это часть того же ухода за сайтом
Взломанный или изуродованный сайт стоит не только времени на исправление — он стоит доверия каждого посетителя, который увидит его в таком состоянии, и напрямую прерывает всё, ради чего сайт коммерчески существует, с того момента и до восстановления. Уход за безопасностью — часть той же постоянной дисциплины, что и отношение к сайту как к бизнес-системе, а не как к статичной брошюре — это не разовый проект, завершённый при запуске, а постоянная ответственность, пока сайт работает. Наша веб-команда закладывает эти основы в каждый сайт с самого начала и поддерживает их актуальность в рамках постоянной поддержки, а не относится к безопасности как к чужой проблеме, которую нужно решать постфактум.
