Безпека інформації в малому бізнесі: основні кроки

Мала компанія рідко має окремого фахівця з безпеки, а втрати від інциденту при цьому ті самі: зупинена каса, злита клієнтська база, зламана пошта, з якої йдуть листи від імені власника. Ідеально захистити все одночасно неможливо. Держспецзв’язку в роз’ясненні для бізнесу від 2 листопада 2026 року пропонує будувати захист як управління ризиками з чотирьох етапів: оцінка поточного стану, вибір заходів, дорожня карта та їхнє постійне виконання (новина на kmu.gov.ua). Для малого бізнесу це означає: спершу з’ясувати, що саме треба захищати, і закрити найвразливіші місця.

Що захищати і що каже закон

Складіть перелік із п’яти-семи речей, без яких робота зупиняється: поштові скриньки власника й бухгалтера, інтернет-банк, облікова система чи каса, клієнтська база, файли з договорами, ключі електронного підпису, резервні копії.

Якщо ви зберігаєте дані клієнтів чи працівників, діє Закон про захист персональних даних. Його стаття 24 зобов’язує володільців і розпорядників забезпечити захист даних від випадкових втрати або знищення, від незаконної обробки, зокрема незаконного знищення чи доступу. Окремо сказано, що фізичні особи - підприємці особисто забезпечують захист персональних даних, якими володіють (ст. 24 Закону № 2297-VI, текст за копією на kodeksy.com.ua; чинну редакцію варто звірити на сайті Верховної Ради). Тобто відповідальність за облікові записи й бази лежить на власнику бізнесу, а не на «ІТ-людині».

Облікові записи: від паролів до стійкого входу

Держспецзв’язку в рекомендаціях від 5 серпня 2026 року пише, що навіть поширені другі фактори - SMS-коди й прості push-підтвердження - зловмисники активно обходять: підміною SIM-картки, фішинговими копіями сайтів, які крадуть сесійні токени, та масовою розсилкою запитів на вхід, доки користувач не натисне «схвалити» (рекомендації на kmu.gov.ua). З цього випливає практичний порядок дій:

Керівника, бухгалтера та адміністраторів систем переведіть на апаратні ключі стандарту FIDO2, passkeys або біометричний вхід пристрою - для пошти, банку й основної облікової системи.
Там, де апаратних ключів немає, замініть SMS на застосунок-автентифікатор і ввімкніть у ньому підтвердження введенням числа замість кнопки «схвалити».
Захистіть відновлення доступу: скидання пароля не повинно залежати від «секретного питання» чи даних, які легко знайти.
Паролі робіть довшими, а не складнішими. У тих самих рекомендаціях зазначено, що штучні правила складності малоефективні, радять збільшувати мінімальну довжину й не змушувати змінювати паролі за розкладом, якщо немає ознак компрометації. Для зберігання паролів користуйтеся менеджером паролів.

Резервні копії та оновлення

Копія, що лежить на тому ж комп’ютері або в тій же синхронізованій хмарній папці, від зловмисного шифрування чи випадкового видалення не врятує: зміна синхронізується в обидва місця. Тому:

тримайте принаймні одну копію окремо від основної системи, без постійного підключення до неї;
раз на квартал перевіряйте, що з копії справді можна відновити важливі файли, і записуйте, скільки це зайняло;
автоматичні оновлення системи, браузера, бухгалтерських програм і роутера вмикайте за замовчуванням, а програми, які більше не підтримуються, замініть.

Люди й правила доступу

Більшість інцидентів у малих компаніях починаються з листа чи повідомлення, на яке хтось клікнув. Тому правила мають бути короткими й виконуваними:

у кожного окремий обліковий запис, спільних паролів на касу чи пошту немає;
права видають під роль: стажист не бачить банку, менеджер не змінює налаштувань облікової системи;
звільненому працівнику доступи закривають у день звільнення за заздалегідь складеним переліком;
прохання змінити реквізити платежу чи терміново переказати кошти підтверджують дзвінком на відомий номер, а не відповіддю на лист;
кожен знає, кому писати, якщо відкрив підозріле вкладення, і що це не вважається провиною.

Держспецзв’язку наголошує, що навіть найкращі технології й процеси дають збій, якщо персонал не підготовлений, а керівництво не бере на себе відповідальність за управління ризиками. Для малої компанії це означає 20 хвилин на квартал: розібрати з командою один реальний приклад шахрайського листа.

Що робити, коли інцидент уже стався

Запишіть заздалегідь короткий порядок дій на одній сторінці. Спершу відключіть від мережі уражений комп’ютер і змініть пароль до пошти з іншого, чистого пристрою. Далі повідомте бухгалтера й банк, якщо могли постраждати платежі, і зафіксуйте час та ознаки: який лист відкрили, що з’явилося на екрані. Не відновлюйте дані з копії, поки не з’ясовано, що копія створена до зараження. Якщо постраждали персональні дані клієнтів, подальші кроки узгодьте з юристом за чинною редакцією закону.

План на 30 днів

Тиждень	Дія
1	Перелік критичних систем і хто має до них доступ; закрити зайві облікові записи
2	Сильний вхід для власника, бухгалтера й адміністраторів; захищене відновлення доступу
3	Налаштувати окрему резервну копію й перевірити відновлення
4	Короткий інструктаж для команди; записати, хто що робить при інциденті

Першим кроком сьогодні захистіть поштову скриньку власника: вона відновлює доступ до всіх інших сервісів.