الخلاصة
- تستخدم معظم الهجمات على الشركات الصغيرة والمتوسطة الطرق نفسها: كلمات مرور مسروقة، ورسائل تصيد، وأنظمة غير محدّثة، ووصول عن بُعد مكشوف.
- خمسة عشر إجراءً أساسياً، من التحقق متعدد العوامل والتحديثات إلى EDR وحماية البريد والنسخ المختبرة، تسد معظم هذه الطرق دون ميزانية كبيرة.
- في السعودية تدعم هذه الضوابط أيضاً متطلبات نظام حماية البيانات الشخصية وتتوافق مع الضوابط الأساسية للأمن السيبراني.
تُستهدف الشركات الصغيرة والمتوسطة لأنها تملك غالباً بيانات قيّمة ودفاعات أضعف. والخبر الجيد أن معظم الهجمات تستخدم طرقاً قليلة معروفة. تغطي هذه القائمة خمسة عشر إجراءً أساسياً نوصي بها لكل شركة.
الحسابات والصلاحيات
- 1. التحقق متعدد العوامل للبريد وVPN وسطح المكتب البعيد وكل حسابات المسؤولين.
- 2. حسابات مسؤول منفصلة تُستخدم للإدارة فقط.
- 3. إلغاء حسابات المغادرين في آخر يوم عمل لهم.
- 4. مدير كلمات مرور وعدم مشاركة كلمات المرور.
الأجهزة
- 5. تحديثات تلقائية لنظامي Windows وmacOS والمتصفحات وOffice.
- 6. حماية الأجهزة مع EDR على كل حاسوب وخادم.
- 7. تشفير أقراص الحواسيب المحمولة.
- 8. المستخدمون بدون صلاحيات مسؤول محلي.
البريد والشبكة
- 9. حماية البريد من التصيد، مع إعداد SPF وDKIM وDMARC لنطاقك.
- 10. جدار حماية للأعمال بإصدار محدّث وبدون منافذ مفتوحة غير ضرورية.
- 11. شبكة Wi-Fi منفصلة للزوار.
- 12. عدم كشف سطح المكتب البعيد على الإنترنت مباشرة، واستخدام VPN مع التحقق متعدد العوامل.
البيانات والاستعادة
- 13. نسخ احتياطية وفق قاعدة 3-2-1، مع نسخة غير قابلة للتعديل أو معزولة واختبارات استعادة منتظمة.
- 14. معرفة أماكن تخزين البيانات الشخصية كما يتطلب نظام حماية البيانات الشخصية.
الموظفون والاستجابة
- 15. توعية قصيرة ومنتظمة بالتصيد، وخطة بسيطة توضح بمن تتصل وماذا تفعل عند الحادثة.
كيف يساعدك بيت الأفكار
نساعد الشركات الصغيرة والمتوسطة في جميع مناطق المملكة على تطبيق هذه الأساسيات: جدران الحماية، وEDR، وحماية البريد، والتحقق متعدد العوامل، والنسخ الاحتياطي، والدعم، مع تقييم قصير يوضح لك من أين تبدأ.
أسئلة شائعة
ما أهم خطوة أمنية للشركة الصغيرة؟
تفعيل التحقق متعدد العوامل للبريد والوصول عن بُعد وحسابات المسؤولين، فهو يمنع معظم الهجمات المعتمدة على كلمات المرور المسروقة.
هل يجب على الشركات الصغيرة في السعودية الالتزام بضوابط الهيئة الوطنية؟
الضوابط الأساسية إلزامية للجهات الوطنية مثل الجهات الحكومية والبنى التحتية الحساسة، وتُشجَّع بقية الشركات على تطبيقها. كما يتطلب نظام حماية البيانات الشخصية حماية مناسبة للبيانات الشخصية أياً كان حجم الشركة.
كم يجب أن تنفق الشركة الصغيرة على الأمن السيبراني؟
يعتمد ذلك على الحجم والمخاطر. فكثير من الأساسيات مثل التحقق متعدد العوامل والتحديثات وإعدادات أمان Microsoft 365 قليلة التكلفة، وتكلفة EDR وحماية البريد والنسخ الاحتياطي لكل مستخدم بسيطة مقارنةً بتكلفة حادثة واحدة.