Kui sul on väikeettevõtte koduleht, e-pood või lihtsalt paar tähtsat kasutajakontot, siis paroolid ei ole mingi tüütu kõrvalteema. Need on üks esimesi kohti, kust jama algab. Ja päris tihti mitte sellepärast, et keegi sihib just sinu firmat, vaid kuna robotid proovivad automaatselt vanu lekkinud paroole, lihtsaid kombinatsioone ja korduvkasutust.
Asi on selles, et paljudel väikestel firmadel on paroolihaldus veel üsna suvaline. Excelis, märkmikus, brauseris, ühe töötaja peas või saadetud Messengeri kaudu. Alguses tundub okei. Siis tuleb uus töötaja, keegi lahkub, mingi plugin vajab update’i, keegi ei leia ligipääse üles - ja juba ongi segadus majas.
Nii et vaatame hästi lihtsalt üle, mis reeglid päriselt aitavad. Mitte teooria pärast, vaid selleks et su koduleht, e-pood ja muu online setup püsiks kontrolli all.
Miks parooliteema väikeettevõttes nii kergelt käest ära läheb
Väikeses tiimis tehakse asju kiiresti. Üks inimene haldab kodulehte, teine reklaame, kolmas e-posti. Vahepeal aitab agentuur, siis mõni vabakutseline. Ja kuna kõigil on kiire, siis parool jagatakse nii-öelda korraks. Hiljem jääb see “korraks” aastateks.
Ausalt öeldes on see väga tavaline. Sama parool on Gmailis, WordPressis, veebimajutuses ja võib-olla isegi pangaga seotud teenustes. Kui üks koht lekib, saab ründaja juba omamoodi võtmekimbu kätte.
Kui sul on WordPressi leht, siis loe ka miks WordPressi uuendusi ei tohi edasi lükata. Paroolid ja uuendused käivad tegelikult käsikäes - üksik tugev parool ei päästa, kui muu süsteem on vana.
Esimene reegel - ära kasuta sama parooli mitmes kohas
See on kõige suurem point. Kui kasutad sama parooli e-postis ja WordPressis, siis ühe konto lekkest piisab. Praktikas juhtub see päris tihti nii, et inimene ei saagi aru, kust sissetung alguse sai.
Hea rusikareegel on lihtne:
- iga oluline konto saab oma unikaalse parooli
- e-postile eraldi parool
- WordPressi adminile eraldi parool
- veebimajutusele eraldi parool
- makselahendustele ja e-poe teenustele eraldi paroolid
Kui sul on WooCommerce pood, siis siin ei ole tegelikult ruumi laiskuseks. E-poes liiguvad kliendiandmed, tellimused, vahel ka tarne- ja arveinfo. Üks halb parool võib minna väga kalliks maksma.
Teine reegel - kasuta paroolihaldurit, mitte pead ega paberit
Vaata, tugevate ja erinevate paroolide pidamine on ilma tooriistata ebareaalne. Inimene lihtsalt ei jäta neid meelde. Siis tehaksegi “NatukeMuudetudParool2024!” tüüpi lahendusi, mis tunduvad targad, aga ei ole.
Paroolihaldur teeb asja lihtsaks. See salvestab paroolid turvaliselt ja aitab genereerida uusi. Sina pead meeles pidama ainult ühte peaparooli. See on palju normaalsem süsteem kui Wordi fail töölaual nimega “paroolid-uus-lopp-final”.
Paroolihalduri valikul vaata neid asju:
- kas saab paroole turvaliselt tiimi sees jagada
- kas on olemas kahefaktoriline autentimine
- kas endine töötaja saab ligipääsust lihtsalt eemaldada
- kas audit logi või jagamise ajalugu on olemas
Tegelikult ei pea kohe maailma kõige kallimat lahendust võtma. Tähtsam on, et mingi süsteem oleks olemas ja kõik kasutaksid seda samamoodi.
Kolmas reegel - e-post on kõige tähtsam konto üldse
See koht unustatakse üsna sageli ära. Aga kui keegi saab kätte sinu ettevõtte peamise e-posti konto, siis ta saab enamasti ka kõik teised kontod üle võtta. Parooli taastamine käib ju tavaliselt e-posti kaudu.
Nii et alusta just sealt. Kui sul on ainult üks konto, mille teed täna tugevamaks, siis olgu see e-post.
- Pane e-postile pikk ja unikaalne parool
- Lülita sisse 2FA
- Vaata üle taastamise e-post ja telefoninumber
- Eemalda vanad töötajad ja tundmatud seadmed
- Kontrolli, kas sama konto parool pole mujal kasutusel
Kui sa ei kasuta veel kaheastmelist autentimist, siis see on järgmine kiire võit. Meil on selle jaoks ka eraldi lahendus: kaheastmeline autentimine. See lisab parooli kõrvale teise kontrolli ja teeb robotite elu palju raskemaks.
Neljas reegel - jaga ligipääse rollide, mitte ühise admin-kontoga
Üks klassikaline viga on see, et kogu tiim kasutab ühte ja sama admin kasutajat. “Lihtsam nii.” Jah, momentiks on lihtsam. Aga kui midagi juhtub, siis sa ei tea enam, kes mida tegi. Ja kui keegi lahkub, tuleb jälle kõik ringi teha.
WordPressis, e-poes ja muudes teenustes peaks igal inimesel olema oma kasutaja. Täpselt nii palju õigusi kui vaja, mitte rohkem. Seejuures ei ole see mingi suurte firmade teema, vaid väikestel on sellest isegi rohkem kasu.
Hea praktika näeb välja nii:
- raamatupidaja ei vaja WordPressi admin õigusi
- sisutegija saab muuta lehti ja postitusi, aga mitte plugin’e
- arendaja saab ajutise ligipääsu oma töö ajaks
- poe haldur näeb tellimusi, aga mitte tingimata kõiki tehnilisi seadeid
Nii on pärast palju vähem segadust. Ja kui midagi läheb katki, on lihtsam põhjus üles leida.
Viies reegel - tee ligipääsude audit vähemalt kord kvartalis
Üldiselt ei ole paroolihaldus “pane paika ja unusta” teema. Väikeettevõttes muutuvad inimesed, rollid ja teenused päris tihti. Keegi tegi kunagi kampaaniat, keegi seadistas analüütikat, keegi aitas e-poodi. Aga nende kasutajad jäävad alles.
Pane kalendrisse kord kvartalis 20-30 minutit ja kontrolli üle:
- kes pääseb ligi WordPressile
- kes pääseb ligi domeenile ja veebimajutusele
- kes pääseb ligi e-postile
- kas mõni vana plugin või konto on endiselt aktiivne
- kas kõigil tähtsatel kontodel on 2FA peal
Lühike kontroll. Aga mõjub hästi. Sama loogika kehtib ka siis, kui töötaja lahkub - ära jää lootma, et “ta nagunii ei kasuta seda enam”. Ligipääs tuleb kohe maha võtta.
Mis on tugev parool päriselt?
Tugev parool ei tähenda ainult sümboleid ja suuri tähti. Tugev parool on pikk, juhuslik ja unikaalne. Kui inimene suudab selle peast loogiliselt välja mõelda, siis on see tihti nõrgem, kui tundub.
Normaalne variant on lasta paroolihalduril see automaatselt genereerida. Vähem loomingut, rohkem turvalisust. Okei, see ei näe ilus välja, aga ilu ei olegi eesmärk.
Väldi näiteks selliseid asju:
- Ettevote123
- Suvi2024!
- Admin12345
- sama parool väikse muudatusega eri kohtades
Ja kui sul tekib kahtlus, et midagi on juba valesti, siis vaata seda lugu: 5 märki, et sinu WordPress on juba häkkerite käes. Mõnikord on märgid täitsa olemas, lihtsalt keegi ei pane neid kokku.
Kui sul on WordPressi leht, siis parool üksi ei päästa
Siin on üks koht, kus paljud eksivad. Arvatakse, et kui parool sai tugevaks, siis nüüd on turvalisus tehtud. Samas WordPressi puhul mõjutavad tulemust veel pluginad, uuendused, varukoopiad, sisselogimise kaitse, failimuudatuste jälgimine ja muu selline.
Kui sa ei taha seda kõike ise hallata, siis mõistlik variant on võtta WordPressi hooldus, kus uuendused, seire ja turvaasjad käivad jooksvalt. See on eriti kasulik siis, kui koduleht või e-pood toob sulle päriselt päringuid või müüki. Siis ei ole väga hea mõte loota, et “eks ma kunagi vaatan”.
Praktikas on kõige parem setup selline, kus:
- paroolid on paroolihalduris
- 2FA on peal
- kasutajaõigused on paigas
- uuendused tehakse regulaarselt
- backup on olemas
- keegi jälgib, et leht oleks alles ja puhas
Lihtne tegevusplaan järgmiseks 30 minutiks
Kui sa tahad selle teema kohe liikuma saada, siis ära hakka suurt turvapoliitikat kirjutama. Tee need sammud ära. Päriselt. Need annavad juba väga korraliku tulemuse.
- Vali üks paroolihaldur ja pane see kasutusse
- Muuda ära ettevõtte peamise e-posti parool
- Lülita sisse 2FA e-postil ja WordPressis
- Eemalda vanad kasutajad ning jagatud admin-kontod
- Kontrolli, kellel on ligipääs domeenile, majutusele ja lehele
- Pane kalendrisse kvartaalne ligipääsude audit
See ei pea olema ideaalne esimesel päeval. Aga peab algama. Üsna sageli piisab ühest nõrgast kohast, et kogu muu tubli töö ära nullida.
Kui sul on tunne, et paroolid, uuendused ja WordPressi turvalisus on juba veits üle pea kasvanud, siis tasub see asi lihtsalt korda teha enne, kui jama tekib. Hiljem on alati kallim. Ja närvilisem ka.