Minimalny sensowny stack bezpieczeństwa dla małych firm

podłoga, w jednej tabeli

• MFA wszędzie · Co to wymaga: Zwykle darmowe w twoim pakiecie. Pojedyncza największa redukcja ryzyka, jaką masz. Bez wyjątków dla founderów czy adminów.
• Użyj dostawcy tożsamości, którego już masz · Co to wymaga: Loguj przez niego aplikacje, włącz jego reguły, zrób z niego jedno miejsce, w którym dodajesz i usuwasz ludzi.
• Menedżer haseł · Co to wymaga: Zabija powtarzane hasła i daje bezpieczne miejsce na współdzielone logowania.
• Ochrona endpointów na każdym urządzeniu · Co to wymaga: Często w twoim pakiecie albo tania. Laptop bez niczego na sobie to otwarte drzwi.
• Przetestowane backupy · Co to wymaga: Twoja realna obrona przed ransomware. Zrób raz przywrócenie z backupu jako ćwiczenie.
• Filtrowanie poczty · Co to wymaga: Włączone i skonfigurowane w twoim pakiecie, bo phishing to sposób, w jaki zaczyna się większość ataków.
• SaaS za single sign-on · Co to wymaga: I sporadyczny rzut oka na granty OAuth, które się piętrzą.
• Jednostronicowa wytyczna AI · Co to wymaga: Czego nie wklejać i które narzędzia są ok dla jakich danych.
• Offboarding, który usuwa dostęp · Co to wymaga: Prosta checklista uruchamiana z poziomu dostawcy tożsamości.

najpewniej masz już większość z tego

To, o czym nikt sprzedający ci bezpieczeństwo nie mówi, to że najpewniej masz już kupioną większość tej podłogi. Subskrypcja Microsoft 365 albo Google Workspace, za którą płacisz, zawiera uwierzytelnianie wieloskładnikowe, single sign-on, podstawową ochronę poczty, zarządzanie urządzeniami i więcej, w dużej mierze wyłączone albo nigdy nieskonfigurowane. Dużo z tego, co uchodzi za bezpieczeństwo małej firmy, to po prostu włączenie tego, co już masz, dlatego też ogarnięcie podstaw kosztuje tak mało. Zrób MFA wszędzie, przepuść aplikacje i ludzi przez dostawcę tożsamości, upewnij się, że backupy i filtrowanie poczty są faktycznie włączone, a będziesz już za punktem, w którym łamie się większość małych firm.

co pominąć, z czystym sumieniem

Wiedza, co zignorować, liczy się tyle samo co wiedza, co zrobić, bo czas szczupłego zespołu to jego najrzadszy zasób. Nie potrzebujesz jeszcze dedykowanej platformy do dostępu uprzywilejowanego, pakietu identity governance, platformy do ochrony przed utratą danych, narzędzia do SaaS posture, SIEM, security operations center, pełnego pakietu zero trust networking ani platformy compliance. Wszystkie te rzeczy są realne i przydatne w skali, i wszystkie są przesadą i czymś, czego szczupły zespół nie ogarnie. Kupowanie ich za wcześnie to sposób, w jaki małe firmy kończą z drogim narzędziem wdrożonym w połowie i wciąż otwartymi podstawami. Jedna rzecz warta zaznaczenia to detekcja: nie zatrudnisz ludzi do obserwowania ataków 24/7, więc jeśli to realny problem, sensowną odpowiedzią jest usługa zarządzana, nie narzędzia, których nie ogarniesz, ale prewencja i backupy są najpierw.

Jeśli akurat budujesz oprogramowanie, dodaj podstawy application security, bo dla ciebie kod jest produktem. W innym wypadku powyższa tabela to naprawdę większość tematu.

kiedy dodać więcej

Podłoga trzyma się, dopóki coś się nie zmieni, a sygnały są konkretne, nie mgliste. Klient przysyła ci ankietę bezpieczeństwa, albo deal utyka na bezpieczeństwie. Inwestor otwiera due diligence. Wchodzi w zakres regulacja. Przekraczasz mniej więcej pięćdziesiąt osób, albo rozrost narzędzi i kont wychodzi poza to, co jedna osoba ogarnie w głowie. Albo masz przestrach. Każdy z tych sygnałów to znak, żeby przejść od podłogi w stronę pełniejszego stacku.

od czego zacząć

Wybierz trzy najważniejsze rzeczy, MFA wszędzie, menedżer haseł i przetestowane backupy, i zrób je w tym tygodniu. Są tanie, w większości je już masz, a razem zamykają dużą część twojego realnego ryzyka. Potem schodź po reszcie tabeli, jak starczy czasu. Piętnastoosobowa firma może zrobić większość tej listy sama, za niewielkie pieniądze, i nie musi nikogo zatrudniać, żeby zmapować swój stack. Uczciwa droga to przejść przez podłogę, użyć tego, co masz, i dodawać więcej, gdy dorośniesz do rozrostu większego, niż jesteś w stanie ogarnąć wzrokiem.