אבטחת מידע לעסק קטן לא מתחילה במוצר יקר. היא מתחילה בכמה הרגלים פשוטים: סיסמה ייחודית וחזקה לכל מערכת, אימות דו-שלבי בכל מקום שאפשר, עדכוני תוכנה, גיבויים שנבדקו, והרשאות רק למי שצריך. רוב התקיפות על עסקים קטנים לא מתוחכמות — הן מנצלות סיסמה שדלפה, תוסף לא מעודכן או מייל התחזות. המאמר הזה מרכז את הצעדים שאני ממליץ עליהם לבעלי עסקים, עם דגש על האתר ועל החשבונות שמסביבו.
מה בעצם צריך להגן עליו
לפני שמדברים על כלים, כדאי לעשות רשימה. בעסק קטן טיפוסי:
- המייל העסקי — דרכו מאפסים סיסמאות לכל השאר. מי ששולט במייל שולט בהכול.
- הדומיין — החשבון אצל רשם הדומיינים, וההגדרות שמפנות את האתר והמייל.
- האתר — ממשק הניהול, האחסון ומסד הנתונים.
- מידע על לקוחות — פניות, הזמנות, פרטי קשר.
- חשבונות נוספים — בנק, סליקה, רשתות חברתיות, פרופיל העסק בגוגל, הנהלת חשבונות.
1. סיסמאות ואימות דו-שלבי
זה הצעד שנותן הכי הרבה הגנה ביחס למאמץ:
- סיסמה שונה לכל מערכת — כשסיסמה דולפת מאתר אחד, תוקפים מנסים אותה בכל השאר.
- מנהל סיסמאות — כדי שלא תצטרכו לזכור אותן.
- אימות דו-שלבי (2FA) — קודם כל במייל, ברשם הדומיינים, בניהול האתר ובבנק. אפליקציית אימות עדיפה על SMS.
הרחבתי על זה במאמר סיסמאות ואימות דו-שלבי לאתר.
2. עדכונים
תוכנה לא מעודכנת היא דלת פתוחה. באתר וורדפרס זה כולל את הליבה, התבנית והתוספים; במחשבים — מערכת ההפעלה והדפדפן. כמה כללים:
- להסיר תוספים ותבניות שלא בשימוש — גם כבויים, הם קוד על השרת.
- להימנע מתוספים נטושים, שלא עודכנו הרבה זמן.
- לעדכן באופן קבוע, ולבדוק את האתר אחרי עדכון.
מדריך מלא לאבטחת אתר וורדפרס נמצא במאמר אבטחת אתר וורדפרס.
3. גיבויים
גיבוי הוא מה שמציל אתכם כשכל השאר נכשל — פריצה, תקלה, מחיקה בטעות, נוזקת כופר. גיבוי טוב:
- אוטומטי — לא תלוי במישהו שיזכור.
- שמור במקום נפרד — לא רק על אותו שרת. גיבוי שיושב ליד האתר נפרץ יחד איתו.
- כולל כמה גרסאות לאחור — כי לפעמים מגלים פריצה רק אחרי שבועות.
- נבדק — גיבוי שמעולם לא שוחזר הוא הנחה, לא גיבוי.
פירוט נמצא במאמר גיבוי אתר וורדפרס.
4. הרשאות
- משתמש אישי לכל אחד — לא משתמש משותף.
- הרשאה מינימלית — מי שכותב תוכן לא צריך הרשאת מנהל.
- ניקוי משתמשים — עובדים, פרילנסרים וספקים שסיימו לעבוד מקבלים חסימה, באותו יום.
- מפתחות ובעלות — הדומיין, האחסון והחשבונות רשומים על העסק, לא על ספק או עובד.
5. מיילים מתחזים
הרבה תקיפות מתחילות במייל שנראה אמיתי: "החשבון שלך ננעל", "חשבונית מצורפת", "בקשה דחופה מהמנכ״ל להעביר כסף". הרגלים שעוזרים:
- לא להיכנס לחשבונות דרך קישור במייל — אלא דרך הכתובת המוכרת.
- לאמת בקשה להעברת כסף או לשינוי פרטי חשבון בנק בטלפון, למספר מוכר.
- לבדוק את כתובת השולח המלאה, לא רק את השם.
בצד הטכני, הגדרות SPF, DKIM ו-DMARC לדומיין מקשות על מתחזים לשלוח בשמכם. כתבתי עליהן במאמר מייל עסקי על הדומיין.
6. האתר עצמו
- HTTPS בכל האתר — ראו תעודת SSL.
- טפסים מוגנים מספאם ובוטים.
- איסוף מינימלי — לא לבקש בטופס מידע שלא צריך. מידע שלא נאסף לא יכול לדלוף.
- ניטור — לדעת שהאתר נפל או השתנה לפני שלקוח מספר לכם. ראו ניטור זמינות אתר.
7. תוכנית ליום רע
כדאי לדעת מראש מה עושים כשמשהו קורה: למי מתקשרים, איפה הגיבויים, מי מחליף סיסמאות, ואיך מודיעים ללקוחות אם צריך. בתחום הפרטיות חלות גם תקנות הגנת הפרטיות (אבטחת מידע), שכוללות חובות שונות לפי סוג המאגר — ובמקרים מסוימים גם חובת דיווח על אירוע אבטחה. לבדיקה של מה חל עליכם, כדאי להתייעץ עם איש מקצוע.
מאיפה מתחילים — סדר עדיפויות
אם כל הרשימה נראית גדולה, הנה הסדר שאני ממליץ עליו:
- מיד — אימות דו-שלבי למייל העסקי ולחשבון הדומיין. אלה המפתחות לכל השאר.
- בהמשך הקרוב — מנהל סיסמאות והחלפת סיסמאות שחוזרות על עצמן; ניקוי משתמשים ישנים באתר ובמערכות.
- אחר כך — גיבוי אוטומטי נפרד ובדיקת שחזור; עדכון וניקוי תוספים; SPF, DKIM ו-DMARC.
- באופן קבוע — עדכונים, בדיקת גיבויים, ריענון הרגלים מול מיילים חשודים.
ספקים וגישות
עסק קטן עובד עם הרבה ספקים — מפתח, מעצב, רואה חשבון, משווק — ולכל אחד גישה למשהו. זה טבעי, אבל צריך סדר:
- גישה אישית לכל ספק, ולא הסיסמה של בעל העסק.
- רק למה שצריך — משווק לא צריך גישת מנהל לאתר.
- רשימה מעודכנת — מי מחזיק גישה למה.
- סגירה בסיום — כשהעבודה מסתיימת, הגישה נסגרת.
- שליחת סיסמאות — לא במייל או בוואטסאפ גלוי; עדיף שיתוף דרך מנהל הסיסמאות.
איך אני עובד
באתרים שאני בונה ומתחזק, האבטחה היא חלק מהעבודה השוטפת: עדכונים, גיבויים, הרשאות מצומצמות וניטור. אני גם מקפיד שהדומיין והקוד יהיו בבעלות הלקוח — כך שהשליטה תמיד נשארת אצלו. ראו תחזוקת אתרים, או שלחו לי את כתובת האתר לבדיקה.
אהבתם את המאמר?
