Sinifdə proyektorun müəllimlə şagird arasındakı diqqət və nəzarət balansını dəyişməsi barədə xarici xəbər bir sadə məqamı xatırladır: iş alətləri təkcə işi sürətləndirmir, həm də davranışları və riskləri dəyişir. Azərbaycan şirkətlərində rəqəmsal proseslər üçün də eyni qayda keçərlidir. Müştəri məlumatlarının daxil edildiyi CRM, sifariş qəbul edən veb sayt, əməkdaşların istifadə etdiyi mobil tətbiq və daxili hesabat sistemləri biznesi daha çevik edir. Lakin bu rahatlıq yeni giriş nöqtələri və nəzarət ehtiyacları yaradır.
Kibertəhlükəsizlik yalnız antivirus quraşdırmaq və ya parol təyin etmək deyil. Bu, şirkətin hansı məlumatı saxladığını, ona kimin və hansı şəraitdə çıxış etdiyini, nasazlıq və ya hücum zamanı işin necə davam edəcəyini sistemli şəkildə idarə etməkdir. Xüsusilə kiçik və orta bizneslər üçün məqsəd mürəkkəb alətlər toplamaq yox, real riskləri prioritetləşdirmək olmalıdır.
Görünən ekranın arxasındakı riskləri müəyyənləşdirin
Bir çox şirkətdə təhlükəsizlik müzakirəsi yalnız insident baş verəndə başlayır: sayt əlçatmaz olur, əməkdaşın hesabından şübhəli məktub göndərilir və ya sifariş məlumatları itir. Daha faydalı yanaşma isə əvvəlcədən əsas rəqəmsal aktivlərin xəritəsini çıxarmaqdır. Bunun üçün texniki terminlərdən çox, biznes suallarından başlamaq mümkündür.
- Şirkət hansı məlumatları toplayır: əlaqə məlumatları, sifarişlər, müqavilələr, əməkdaş sənədləri, ödəniş qeydləri?
- Bu məlumatlar harada saxlanılır və hansı sistemlər arasında ötürülür?
- Hər sistemə kim daxil olur: əməkdaş, rəhbər, mühasib, podratçı və ya müştəri?
- Əməkdaş işdən ayrıldıqda və ya vəzifəsi dəyişdikdə girişləri kim, nə vaxt ləğv edir?
- Əsas sistem bir gün əlçatmaz olsa, sifariş, satış və müştəri xidməti necə davam edəcək?
Bu suallar cavablandırıldıqda risklər görünən olur. Məsələn, bir e-poçt hesabının həm saytın idarəetmə panelinə, həm də ehtiyat nüsxələrə çıxışı varsa, həmin hesabın ələ keçirilməsi tək problem deyil, zəncirvari riskdir. Eyni qaydada, ümumi istifadə edilən bir parolun kimin tərəfindən və nə vaxt istifadə olunduğunu izləmək çətinləşir.
Girişlərin idarə olunması ən praktik başlanğıcdır
Hücumların hamısı mürəkkəb texniki üsullarla başlamır. Bəzən zəif, təkrar istifadə edilən və ya paylaşılmış parol kifayətdir. Buna görə kibertəhlükəsizlik planının ilk addımlarından biri şəxsə bağlı hesablar və aydın giriş qaydalarıdır.
- Hər əməkdaş üçün ayrıca hesab yaradın. Ümumi “admin”, “sales” və ya “office” hesabları məsuliyyəti qeyri-müəyyən edir.
- Minimal səlahiyyət prinsipini tətbiq edin. Hər istifadəçi yalnız işini görmək üçün lazım olan bölmələrə çıxış almalıdır. Məsələn, kontent əməkdaşı sayt məzmununu dəyişə bilər, lakin ödəniş və sistem parametrlərini idarə etməməlidir.
- Çoxmərhələli təsdiqi aktivləşdirin. Xüsusilə e-poçt, idarəetmə paneli, maliyyə və uzaqdan giriş hesablarında əlavə təsdiq parolun oğurlanması riskini azaldır.
- Girişlərə mütəmadi baxış keçirin. Yeni əməkdaş, vəzifə dəyişikliyi, məzuniyyət və işdən ayrılma kimi hallarda giriş siyahısı yenilənməlidir.
Bu qaydalar yalnız IT şöbəsinin işi kimi qəbul edilməməlidir. Rəhbərlik giriş sahibliyini, proses rəhbərləri isə əməkdaş rolunu təsdiqləməlidir. Texniki komanda və ya xidmət tərəfdaşı isə bu qərarları sistemdə tətbiq etməlidir.
Veb sayt və mobil tətbiqdə təhlükəsizlik dizayn mərhələsindən başlamalıdır
Veb sayt şirkətin rəqəmsal vitrinidir, lakin eyni zamanda müraciət formaları, istifadəçi hesabları, sifarişlər və inteqrasiyalar vasitəsilə məlumat qəbul edən sistemdir. Mobil tətbiq isə telefondakı bildirişlər, sessiyalar və cihaz icazələri səbəbindən əlavə risklər yarada bilər. Təhlükəsizliyi layihə bitəndən sonra əlavə ediləcək funksiya kimi görmək xərcli düzəlişlərə səbəb ola bilər.
Layihə başlamazdan əvvəl komandaya bu məsələləri aydınlaşdırmaq lazımdır: hansı məlumat mütləq toplanmalıdır, hansı məlumatın toplanmasına ehtiyac yoxdur, istifadəçi hansı əməliyyatları edə bilər, inzibatçı hansı əməliyyatlar üçün əlavə təsdiq verməlidir və sistem hansı hadisələri jurnal qeydində saxlamalıdır. Lazımsız məlumat toplamaq həm idarəetmə yükünü, həm də mümkün insidentin təsirini artırır.
Praktik texniki yoxlama siyahısı
- İdarəetmə paneli, server, domen və e-poçt hesablarının sahiblik məlumatları şirkətin nəzarətində olmalıdır.
- İstifadəçi girişləri və formalar düzgün yoxlanmalı, səhv mesajları sistem haqqında artıq məlumat verməməlidir.
- İstifadə edilən komponentlər, plaqinlər və asılılıqlar yenilənmə planına daxil edilməlidir.
- Məlumat ötürülməsi və saxlanması üçün uyğun qoruma tədbirləri layihənin arxitekturasında nəzərə alınmalıdır.
- Əməliyyat qeydləri kritik dəyişiklikləri, uğursuz giriş cəhdlərini və səlahiyyətli hərəkətləri araşdırmağa imkan verməlidir.
Məsələn, satış komandası üçün hazırlanmış daxili paneldə “hamı hər şeyi görür” yanaşması sürətli görünə bilər. Ancaq satış, anbar, maliyyə və rəhbərlik üçün fərqli rollar qurmaq həm səhv əməliyyatların qarşısını alır, həm də araşdırmanı sadələşdirir. Fərdi proseslər üçün korporativ proqram təminatı hazırlanarkən bu rol və icazələr tələblər sənədinin ayrılmaz hissəsi olmalıdır.
Ehtiyat nüsxə insident planı ilə birlikdə işləyir
Ehtiyat nüsxə yaratmaq vacibdir, amma onun həqiqətən bərpa olunduğunu yoxlamaq daha vacibdir. Nüsxənin eyni hesaba, eyni serverə və ya eyni giriş məlumatlarına bağlı olması bir sıra ssenarilərdə kifayət etməyə bilər. Şirkət ən azı əsas məlumatlar, konfiqurasiya faylları və iş üçün kritik sənədlər üzrə nüsxələmə məsuliyyətini müəyyən etməlidir.
İnsident planı uzun və formal sənəd olmaq məcburiyyətində deyil. Bir səhifəlik əməliyyat təlimatı belə faydalıdır: kimə xəbər verilir, hansı hesablar dərhal dayandırılır, sistem qeydləri harada saxlanılır, müştəri müraciətlərinə kim cavab verir, bərpanı kim koordinasiya edir. Bu planın əlaqə siyahısı aktual saxlanmalıdır. İnsident zamanı qərar verən şəxslərin və texniki məsulun əlçatan olması bəzən ən güclü texniki həll qədər önəmlidir.
İnsan amili: qaydaları iş prosesinə uyğunlaşdırın
Əməkdaşlara “şübhəli linklərə daxil olmayın” demək lazımdır, amma təkbaşına yetərli deyil. Təlim real iş axınına uyğun olmalıdır. Məsələn, mühasibatlıq üçün saxta ödəniş rekviziti dəyişiklikləri, satış komandası üçün müştəri adı ilə gələn əlavələr, rəhbərlik üçün təcili təsdiq tələbləri ayrı risk ssenariləridir. Əməkdaş şübhəli halı kimə və hansı kanalla bildirməli olduğunu bilməlidir.
Qaydalar işi ləngidirsə, əməkdaşlar onları kənardan keçməyə meylli ola bilər. Buna görə təhlükəsizlik proseduru sadə, ölçülü və səbəbi izah edilmiş olmalıdır. Məsələn, parolu mesajlaşma qrupunda paylaşmamaq tələbi ilə yanaşı, səlahiyyətli əməkdaşın məzuniyyətdə olduğu vaxt işi dayandırmayan rəsmi giriş ötürmə prosesi də qurulmalıdır.
Rəhbərlik üçün 30 günlük başlanğıc planı
Kibertəhlükəsizlik böyük bir transformasiya layihəsinə çevrilmədən də irəliləyə bilər. İlk 30 gündə aşağıdakı ardıcıllıq praktik nəticə verir:
- Əsas sistemlərin, məlumat növlərinin və məsul şəxslərin siyahısını hazırlayın.
- E-poçt, domen, sayt paneli və kritik biznes sistemlərində ümumi hesabları və artıq girişləri araşdırın.
- Kritik hesablarda çoxmərhələli təsdiqi və fərdi istifadəçi hesablarını tətbiq edin.
- Ehtiyat nüsxələrin harada saxlandığını, kim tərəfindən yoxlandığını və bərpa prosedurunu dəqiqləşdirin.
- Şübhəli e-poçt, itirilmiş cihaz və ya icazəsiz giriş üçün qısa bildiriş proseduru yaradın.
- Yeni veb, mobil və daxili sistem layihələri üçün təhlükəsizlik tələblərini texniki tapşırığa əlavə edin.
Bu addımlar tam qorunma vədi deyil. Onlar şirkətin riskləri daha yaxşı görməsinə, girişləri nəzarətdə saxlamasına və insident anında daha hazırlıqlı davranmasına kömək edir. JedanSoft kimi peşəkar icra tərəfdaşı ilə işləyərkən də biznes tələbləri, səlahiyyət modeli, yenilənmə məsuliyyəti və təhvil verilən girişlərin sənədləşdirilməsi əvvəlcədən açıq razılaşdırılmalıdır.
Tez-tez verilən suallar
Kibertəhlükəsizliyə haradan başlamaq daha düzgündür?
Əvvəl əsas sistemləri, məlumatları və istifadəçi girişlərini siyahıya alın. Sonra ümumi hesabları azaltmaq, artıq səlahiyyətləri ləğv etmək və kritik hesablarda çoxmərhələli təsdiqi aktivləşdirmək praktik başlanğıcdır.
Ehtiyat nüsxə yaratmaq kifayətdirmi?
Xeyr. Ehtiyat nüsxənin bərpa edilə bildiyi dövri yoxlanmalıdır. Həmçinin nüsxəyə çıxış, saxlanma yeri və bərpa üçün məsul şəxs əvvəlcədən müəyyən edilməlidir.
Yeni veb sayt üçün hansı təhlükəsizlik tələbləri vacibdir?
Fərdi istifadəçi hesabları, rol əsaslı icazələr, yenilənmə planı, giriş və kritik dəyişiklik qeydləri, həmçinin yalnız zəruri məlumatların toplanması layihənin ilkin tələblərinə daxil edilməlidir.
Növbəti addım
kibertəhlükəsizlik ilə bağlı layihənizi Veb saytların hazırlanması komandası ilə planlaşdırın. Tələbinizi dəqiqləşdirmək üçün JedanSoft-a müraciət edin.
