Lockwell

დაიცავით მცირე გუნდი

თითოეულს საკუთარი წვდომა მიეცით, ორსაფეხურიანი ვერიფიკაცია სავალდებულო გახადეთ, ერთზე მეტი ადმინისტრატორი გყავდეთ, წასვლის დღესვე გააუქმეთ წვდომა და წინასწარ შეთანხმდით, რას გააკეთებთ საგანგებო შემთხვევაში.

ეს გზამკვლევი მათთვისაა, ვინც შეიძლება მიზანმიმართული თვალთვალის ან თავდასხმის სამიზნე გახდეს. სრულ უსაფრთხოებას ვერც ერთი ჩამონათვალი ვერ მოგცემთ: რა გჭირდებათ, თქვენს მდგომარეობაზეა დამოკიდებული. დაიწყეთ აქედან: შეაფასეთ თქვენი რისკები.

  • 45 წთ
  • 8 ნაბიჯი
  • გადამოწმდა

გუნდი იმდენადაა დაცული, რამდენადაც მისი ყველაზე სუსტად დაცული ანგარიში. ეს გზამკვლევი პატარა რედაქციების, არასამთავრობო ორგანიზაციებისა და აქტივისტური ჯგუფებისთვისაა, რომლებიც საერთო ანგარიშებს, დოკუმენტებსა და ჩატებს იყენებენ. აქ წერია, ვის რაზე აქვს წვდომა, რა შეამოწმოთ, როცა ვინმე მოდის ან მიდის, და რა ქნათ, როცა რამე ცუდად წავა. გაერთიანებული სამეფოს კიბერუსაფრთხოების ეროვნული ცენტრი (NCSC) აფრთხილებს, რომ უსაფრთხოება ერთ ადამიანს არ უნდა მიანდოთ: ნაბიჯებზე ერთად შეთანხმდით.

აუცილებელი

როცა რამდენიმე ადამიანი ერთ ანგარიშს იყენებს, ვერავინ გაიგებს, ვინ რა გააკეთა, და ერთ ადამიანს წვდომას ვერ წაართმევთ ისე, რომ ყველას არ შეუცვალოთ.

  1. ერთი საერთო პაროლის ნაცვლად თითოეულს მიეცით საკუთარი ანგარიში მხოლოდ იმ უფლებებით, რომლებიც სჭირდება. Google ადმინისტრატორის ანგარიშების გაზიარებას არ გირჩევთ, Google და Microsoft კი ყოველდღიური საქმისთვის შეზღუდული უფლებების მქონე ადმინისტრატორის როლებს გირჩევენ.
  2. სოციალური ქსელის გვერდებისთვის პლატფორმის როლები გამოიყენეთ. Meta Business Suite-ში Full access ყველაზე მაღალი დონეა, Partial access-ით კი ადამიანი მხოლოდ იმას აკეთებს, რაც მას მიანდეს.
  3. თუ პაროლის გაზიარება აუცილებელია, ის პაროლების მენეჯერით გააზიარეთ და არა ჩატში. მაგალითად, Bitwarden-სა და 1Password-ში ორგანიზაციას შეუძლია კოლექციები ან სეიფები მხოლოდ მათ გაუზიაროს, ვისაც სჭირდება. ნახეთ გამოიყენეთ პაროლების მენეჯერი.
  4. NCSC-ის რჩევით, ჩამოწერეთ ყველა ანგარიში, რომელზეც ორგანიზაცია დამოკიდებულია: ელფოსტა, საცავი, სოციალური ქსელები, ვებსაიტი, საბანკო ანგარიშები. დაამატეთ დომენის რეგისტრატორიც. თითოეულს მიუწერეთ, ვინ მართავს აღდგენის ელფოსტასა და ტელეფონის ნომერს.
  5. ყველა მნიშვნელოვან ანგარიშს სულ მცირე ორი ადმინისტრატორი ჰყავდეს, რომლებსაც სხვადასხვა ადამიანი მართავს. Google, Microsoft და 1Password აფრთხილებენ, რომ თუ ერთადერთი ადმინისტრატორი ანგარიშში ვეღარ შევა, შეიძლება მთელი გუნდიც ვეღარ შევიდეს.

როლები ზღუდავს, რისი გაკეთება შეუძლია ადამიანს, და არა იმას, რას დააკოპირებს, სანამ წვდომა აქვს. ეს გაითვალისწინეთ, როცა ვინმე წავა.

აუცილებელი

აშშ-ის კიბერუსაფრთხოების სააგენტოს (CISA) თქმით, ორსაფეხურიანი ვერიფიკაცია პარამეტრებით უნდა იყოს სავალდებულო და არა ნდობაზე დამოკიდებული. ის აფრთხილებს, რომ სუსტი ადგილები ხშირად მაშინ ჩნდება, როცა ახალი თანამშრომელი ან ახალი ტელეფონი ემატება.

Google Workspace

  1. Google Admin console-ში: Menu → Security → Authentication → 2-step verification. მონიშნეთ Allow users to turn on 2-Step Verification, Enforcement დატოვეთ Off-ზე და ყველას დრო მიეცით, რომ ჩართონ. შემდეგ აირჩიეთ On ან დაწყების თარიღი: ვინც მანამდე არ ჩართავს, ანგარიშში ვეღარ შევა. ამისთვის super administrator უნდა იყოთ.
  2. Methods-ში Only security key ახლა passkey-ებსაც იღებს. Google აფრთხილებს, რომ ამ რეჟიმში ადამიანებს სარეზერვო კოდების შექმნა თავად არ შეუძლიათ: ისინი ადმინისტრატორმა უნდა მისცეს. თუ SMS-ით და ზარით მიღებულ კოდებს აკრძალავთ, ვინც მათ იყენებს, ანგარიშში ვეღარ შევა, ამიტომ ეს ადამიანები ჯერ სხვა მეთოდზე გადაიყვანეთ.
  3. New user enrollment period მოკლე ვადაზე დააყენეთ: სანამ ის არ დასრულდება, ახალ წევრებს მხოლოდ პაროლით შესვლა შეუძლიათ.
  4. ადმინისტრატორებსა და მაღალი რისკის მქონე ადამიანებს Google-ის Advanced Protection Program-ში ჩართვის საშუალება მიეცით (Menu → Security → Authentication → Advanced Protection Program), შემდეგ კი სთხოვეთ, ორი გასაღებით ჩაერთონ. ნახეთ ჩაერთეთ Google-ის Advanced Protection Program-ში.

Microsoft 365

  1. Microsoft-ის security defaults ყველას ავალდებულებს, მრავალსაფეხურიანი შესვლა დაარეგისტრიროს, და 2019 წლის ოქტომბრის შემდეგ შექმნილ ორგანიზაციებში, როგორც წესი, ჩართულია. ყველას ავთენტიფიკატორი აპლიკაცია დასჭირდება: SMS კოდებს აქ არ გთავაზობენ. შესამოწმებლად გახსენით Microsoft Entra admin center, გადადით Overview → Properties → Manage security defaults და დარწმუნდით, რომ Enabled-ზეა. Microsoft-ის გვერდები პირველ პუნქტს სხვადასხვაგვარად ასახელებს (Entra ID ან Identity).
  2. Microsoft აფრთხილებს, რომ სანამ security defaults ჩართულია, შესვლის მეთოდებს ნუ გამორთავთ: შეიძლება საკუთარ ორგანიზაციაში ვეღარ შეხვიდეთ.
  3. იმისთვის, რომ შესვლა მხოლოდ უსაფრთხოების გასაღებით იყოს შესაძლებელი, Microsoft-ის ფასიანი Conditional Access გჭირდებათ. ჰკითხეთ მას, ვინც თქვენს გამოწერას მართავს.

ყველა გუნდი

  1. სთხოვეთ ყველას, სარეზერვო მეთოდი დააყენონ და სარეზერვო კოდები უსაფრთხოდ შეინახონ, ადმინისტრატორებს კი სთხოვეთ, სათადარიგო უსაფრთხოების გასაღები დაარეგისტრირონ: ნახეთ დააყენეთ ორი უსაფრთხოების გასაღები.
  2. Google-ის რჩევით, ადამიანებს წინასწარ უთხარით, რა არის სავალდებულო, რა ვადაში და რომელი მეთოდით.

ორსაფეხურიანი ვერიფიკაცია პაროლზე თავდასხმების უმეტესობას აჩერებს, მაგრამ SMS-ით ან აპლიკაციით მიღებული კოდი მაინც შეიძლება გამოგტყუონ. ამისგან მხოლოდ უსაფრთხოების გასაღებები და passkey-ები იცავს.

რეკომენდებული

სუსტი ადგილები სწორედ ახალი წევრის პირველ დღეებში ჩნდება: სანამ ორსაფეხურიანი ვერიფიკაცია ჩაირთვება, სანამ ტელეფონი მოწესრიგდება.

  1. წვდომის მიცემამდე სთხოვეთ, ტელეფონი და კომპიუტერი განაახლოს და ეკრანის ძლიერი დაბლოკვა დააყენოს: ნახეთ დაიცავით ტელეფონი და დაიცავით კომპიუტერი.
  2. შეუქმენით საკუთარი ანგარიშები, დაამატეთ პაროლების მენეჯერში და მეტი უფლების მიცემამდე შეამოწმეთ, რომ ორსაფეხურიანი ვერიფიკაცია ჩართული ჰქონდეს.
  3. Signal-ის ჯგუფებში დაამატეთ მხოლოდ მას შემდეგ, რაც მის ნომერს ან მომხმარებლის სახელს პირისპირ ან ზარით გადაამოწმებთ: ნახეთ დარწმუნდით, რომ სწორ ადამიანს ესაუბრებით.
  4. აუხსენით, რა სად არის: რომელი დოკუმენტი სად ინახება, რომელი ჩატი რისთვისაა და ვის უთხრას, თუ რამე ცუდად წავა.
  5. Holistic Security გირჩევთ, უსაფრთხოების გეგმას ისევ გადახედოთ, როცა გუნდს ახალი წევრი შემოუერთდება.

ჩამონათვალი არაფერს შველის, თუ მას არავინ მიჰყვება. თითოეული ნაბიჯის შემოწმება ერთ ადამიანს მიანდეთ და ერთად მონიშნეთ.

აუცილებელი

NCSC აფრთხილებს, რომ ადამიანის წასვლის შემდეგ ანგარიშები ხშირად აქტიური რჩება და ამას ვერავინ ამჩნევს. ეს ადამიანის ბოლო სამუშაო დღეს გააკეთეთ, ან მაშინვე, თუ ცუდად დაშორდით.

  1. შეუცვალეთ პაროლი და ყველგან გამოიყვანეთ ანგარიშიდან. Microsoft 365-ში: Users → Active users, აირჩიეთ ადამიანი, შემდეგ Reset password, ხოლო Account ჩანართზე Sign out of all sessions, შემდეგ Block sign-in. Microsoft-ის თქმით, დაბლოკვას შეიძლება 24 საათამდე დასჭირდეს, ამიტომ პაროლის შეცვლა მნიშვნელოვანია.
  2. Google Workspace-ში Google-ის ჩამონათვალში შედის: მისი აღდგენის ელფოსტისა და ტელეფონის წაშლა, აპლიკაციების წვდომის, უსაფრთხოების გასაღებებისა და შესვლის cookie-ების გაუქმება და მისი ტელეფონიდან სამსახურის მონაცემების წაშლა. Google ამბობს, რომ ყველაზე საიმედო გზა ანგარიშის წაშლაა, მაგრამ ჯერ მისი ფაილები გადაიტანეთ: წაშლილ მონაცემებს 20 დღის შემდეგ ვეღარ აღადგენთ, ხოლო საერთო დისკებზე (shared drives) არსებული ფაილები არ გადადის.
  3. ამოიღეთ პაროლების მენეჯერიდან და შეცვალეთ ყველა პაროლი, რომელიც შეეძლო ენახა. Bitwarden და 1Password ორივე ამბობს, რომ ინტერნეტიდან გათიშულ მოწყობილობაზე წაკითხვადი ასლი შეიძლება დარჩეს; 1Password-ში მანამ, სანამ მოწყობილობა ინტერნეტს ისევ არ დაუკავშირდება. სწორედ ამიტომ უნდა შეიცვალოს ყველა პაროლი. 1Password გირჩევთ, ივარაუდოთ, რომ ადმინისტრატორებმა ყველაფერი ნახეს იმ სეიფებში, რომლებსაც მართავდნენ.
  4. გააუქმეთ მისი როლები სოციალური ქსელის გვერდებზე, ვებსაიტზე, დომენის რეგისტრატორთან და საბანკო ანგარიშებში.
  5. ამოიღეთ Signal-ის ჯგუფებიდან (ამის გაკეთება მხოლოდ ადმინისტრატორებს შეუძლიათ) და განაახლეთ ჯგუფის ბმულები: გახსენით ჯგუფი, შემდეგ Group Link → Reset Link.
  6. შეცვალეთ ყველა საერთო საიდუმლო, რომელიც იცოდა, მაგალითად Wi-Fi-ს პაროლი ან კარის კოდი.

წვდომის გაუქმება ვერ წაშლის იმას, რაც ადამიანმა უკვე დააკოპირა ან ახსოვს. თუ ელით, რომ ვინმე კონფლიქტით წავა, ეს წინასწარ დაგეგმეთ.

აუცილებელი

მგრძნობიარე საუბრების უმეტესობა ჯგუფურ ჩატებში მიმდინარეობს, ამიტომ რამდენიმე საერთო წესი ნებისმიერ პარამეტრზე უფრო მნიშვნელოვანია.

  1. მეტად და ნაკლებად მგრძნობიარე საკითხებისთვის ცალ-ცალკე ჯგუფები გქონდეთ, მგრძნობიარე ჯგუფები კი პატარა იყოს: ნახეთ ჯგუფები მცირე და კონტროლირებადი იყოს.
  2. Signal-ში ადმინისტრატორებს შეუძლიათ აირჩიონ, ვის შეუძლია წევრების დამატება, ჯგუფის მონაცემების შეცვლა და მოწვევის ბმულების მართვა. თუ ბმულს იყენებთ, ჩართეთ Approve New Members, და Security in a Box-ის რჩევით, მოწვევის ბმულებს საჯაროდ ნუ გამოაქვეყნებთ.
  3. Security in a Box გირჩევთ, ადმინისტრატორებად მხოლოდ გადამოწმებული ადამიანები დანიშნოთ და მხოლოდ ეკრანზე ნაჩვენებ სახელს არ ენდოთ.
  4. შეთანხმდით თვითწაშლადი შეტყობინებების ვადაზე. Signal-ში მისი შეცვლა ჯგუფის ნებისმიერ წევრს შეუძლია და ის მხოლოდ ახალ შეტყობინებებზე ვრცელდება: ნახეთ თვითწაშლადი შეტყობინებები ნაგულისხმევად დააყენეთ.
  5. Security in a Box გირჩევთ, თუ ვინმეს ამოღებამ პრობლემა ვერ მოაგვარა, ახალი ჯგუფი შექმნათ.

თვითწაშლადი შეტყობინებები წევრს სქრინშოტის გადაღებაში ვერ შეუშლის ხელს. ჯგუფი იმდენადაა პირადი, რამდენადაც ფრთხილია მისი ყველაზე დაუდევარი წევრი.

აუცილებელი

საგანგებო შემთხვევამდე გადაწყვიტეთ, რა ჩაითვლება ასეთად, ვინ რას აკეთებს და როგორ დაუკავშირდებით ერთმანეთს. CISA გირჩევთ წერილობით გეგმას, Holistic Security კი როლებს, რომლებზეც ყველა წინასწარ შეთანხმდა.

  1. ყოველი სახის პრობლემისთვის დაასახელეთ, ვის მიმართოთ პირველ რიგში და ვინ ჩაანაცვლებს მას: გატეხილი ანგარიში, დაკარგული ან ჩამორთმეული მოწყობილობა, დაკავებული ან შევიწროებული წევრი.
  2. კონტაქტების სია ქაღალდზეც გქონდეთ. CISA გირჩევთ, გქონდეთ კონტაქტების წიგნაკი, რომელსაც მაშინაც გამოიყენებთ, როცა თქვენი სისტემები არ მუშაობს.
  3. შეთანხმდით ერთმანეთთან დაკავშირების მთავარ და სათადარიგო გზაზე და იმაზე, რა არ უნდა თქვათ ღია არხებით.
  4. გატეხილი ანგარიშისთვის მიჰყევით თუ თქვენი ანგარიში გატეხეს. მოწყობილობისთვის, რომელიც შეიძლება წაგართვან, ნახეთ თუ ტელეფონი ან კომპიუტერი შეიძლება წაგართვან.
  5. საგანგებო წვდომა შეინარჩუნეთ: Microsoft გირჩევთ ორ საგანგებო ადმინისტრატორის ანგარიშს უსაფრთხოების გასაღებებით, რომლებიც ცალ-ცალკე ინახება. 1Password-ის თქმით, თუ ყველა, ვისაც ანგარიშების აღდგენა შეუძლია, ერთდროულად ვერ შედის, დაგჭირდებათ Emergency Kit-ები.
  6. იცოდეთ, ვის შეუძლია დახმარება: Access Now-ის Digital Security Helpline სამოქალაქო საზოგადოებას, ჟურნალისტებსა და აქტივისტებს უფასოდ და დღე-ღამის ნებისმიერ დროს ეხმარება (help@accessnow.org; ქართული მის ენებს შორის არ არის, რუსული კი არის). ნახეთ იცოდეთ, სად მიიღოთ ექსპერტის დახმარება.
  7. გეგმა ერთხელ მაინც გაივარჯიშეთ: მაგალითად, ერთად გაიარეთ რომელიმე შესაძლო სცენარი.

ერთხელ დაწერილი და დავიწყებული გეგმა არ დაგეხმარებათ. გადახედეთ მას, როცა ვინმე მოდის ან მიდის.

რეკომენდებული

გუნდები მონაცემებს ხშირად თავდამსხმელების გამო კი არ კარგავენ, არამედ იმიტომ, რომ ანგარიში წაიშალა, ლეპტოპი დაიკარგა ან ვიღაც წავიდა და ერთადერთი ასლი თან წაიღო.

  1. საერთო დოკუმენტები ინახეთ საერთო დისკებზე ან საქაღალდეებში, რომლებიც ორგანიზაციას ეკუთვნის და არა ერთი ადამიანის ანგარიშს. Google-ის თქმით, საერთო დისკების ფაილები არ იკარგება, როცა წევრის ანგარიში იშლება.
  2. NCSC-ის რჩევით, ყველაფრის სარეზერვო ასლი, რაც ორგანიზაციას სჭირდება, ორ ადგილას შეინახეთ: ონლაინ და დისკზე, რომელსაც ყოველი კოპირების შემდეგ კომპიუტერს გამოაერთებთ.
  3. შეამოწმეთ, მართლა აღდგება თუ არა მონაცემები სარეზერვო ასლიდან. CISA-ს თქმით, ბევრ ორგანიზაციას, რომელიც გამოსასყიდის მომთხოვნი პროგრამის (ransomware) მსხვერპლი გახდა, სარეზერვო ასლები არასრული ან დაზიანებული ჰქონდა.
  4. CPJ-ის რჩევით, წაშალეთ ის, რაც აღარ გჭირდებათ, ძველი ანგარიშების ჩათვლით: ნახეთ წაშალეთ ის, რაც აღარ გჭირდებათ.
  5. მგრძნობიარე ფაილებისთვის მიჰყევით შეინახეთ ნაკლები ასლი და დაშიფრულად. ასევე ნახეთ შექმენით სარეზერვო ასლები და მოემზადეთ მოწყობილობის დაკარგვისთვის.

თუ სარეზერვო ასლის გახსნა გუნდის ნებისმიერ წევრს შეუძლია, ის შეიძლება გაჟონოს. შეზღუდეთ, ვის აქვს მასზე წვდომა.

რეკომენდებული

CISA-ს თქმით, უსაფრთხოება ისევე კულტურაა, როგორც ტექნოლოგია, და ხელმძღვანელები მას სხვას ვერ გადააბარებენ.

  1. უსაფრთხოებაზე მოკლე, რეგულარული შეხვედრები გამართეთ. Holistic Security-ის თქმით, ნდობა ადამიანებს ეხმარება, რომ თავიანთ წუხილსა და შეცდომებზე ილაპარაკონ.
  2. იზრუნეთ, რომ ადამიანს შეცდომის შესახებ, მაგალითად, ბმულზე დაჭერის შესახებ, სწრაფად და დადანაშაულების შიშის გარეშე შეეძლოს თქმა: რაც უფრო ადრე გაიგებთ, მით ნაკლებია ზიანი.
  3. CPJ-ის რჩევით, ერთმანეთი ფიშინგზე გააფრთხილეთ, განსაკუთრებით არჩევნების პერიოდში ან როცა კოლეგები ამბობენ, რომ სამიზნე გახდნენ: ნახეთ ამოიცანით ყალბი შეტყობინებები და ზარები.
  4. წესებზე ერთად შეთანხმდით. Holistic Security აღნიშნავს, რომ ადამიანებმა შეიძლება არ მიიღონ გეგმა, რომელიც მათ გარეშე შედგა.
  5. Access Now და Freedom of the Press Foundation ორგანიზაციებს ტრენინგსა და დახმარებას სთავაზობენ.

ტრენინგი რისკს ამცირებს, მაგრამ ვერ აქრობს. ისე დაგეგმეთ, თითქოს ადრე თუ გვიან ვინმე მაინც დააჭერს ბმულს.