Криптовалюта в компании: 7 обязательных правил безопасности

В мире криптовалюты, как правило, нет окошка, куда можно обратиться, чтобы оспорить неудачную операцию: ошибка или кража часто необратимы. Хорошая новость в том, что большинство рисков можно снизить с помощью нескольких простых правил, применимых без ИТ-отдела. Вот семь, которые мы считаем обязательными.

Правило 1 – Строго разделяйте рабочее и личное

Используйте учётные записи, адреса электронной почты и, по возможности, устройства, предназначенные только для деятельности компании. Рабочий кошелёк или аккаунт не должен быть привязан к Вашей личной почте или использоваться для экспериментов. Такое разделение ограничивает ущерб, если одна из сторон будет скомпрометирована, и упрощает бухгалтерский учёт.

Правило 2 – Включите многофакторную аутентификацию везде

Одного пароля недостаточно. ANSSI рекомендует отдавать предпочтение многофакторной аутентификации, а среди факторов — основанным на владении предметом (например, физическим ключом безопасности)^[1]. Используйте вместе с ней менеджер паролей, как рекомендуют ANSSI и CNIL, чтобы для каждого сервиса был свой длинный уникальный пароль^[1][2].

Правило 3 – Защищайте ключи и фразы восстановления

Если Вы сами управляете кошельком, фраза восстановления (последовательность слов) даёт доступ ко всем средствам. Несколько принципов:

• Не фотографируйте её, не вводите её ни на каком сайте, никому её не отправляйте, в том числе якобы сотруднику «поддержки».
• Храните её офлайн, на долговечном носителе, как минимум в двух разных защищённых местах.
• Заранее определите, кто и на каких условиях может получить к ней доступ, если Вы будете недоступны.

Правило 4 – Требуйте двойного подтверждения

Ни один значительный исходящий платёж не должен зависеть от одного человека. Установите порог, выше которого операцию утверждает второй сотрудник, или используйте решение, требующее нескольких подтверждений. Это правило защищает как от мошенничества и принуждения, так и от простой опечатки.

Правило 5 – Проверяйте каждый адрес и делайте тест перед крупными суммами

Криптоадреса длинные и плохо читаемые: при копировании возможна ошибка или злонамеренная подмена. Перед любым переводом:

• Сверьте начало и конец адреса с надёжным источником по второму каналу (звонок, проверенное сообщение).
• Проверьте ожидаемую сеть (блокчейн).
• Сначала отправьте небольшую тестовую сумму.
• Ведите список утверждённых адресов и ограничьте его изменения.

Правило 6 – Остерегайтесь фишинга и поддельной поддержки

Мошенники часто давят на срочность: поддельное письмо от «службы поддержки», поддельная ссылка, фальшивый консультант, который просит установить программу или сообщить код. Выработайте правильные привычки: не переходите по ссылкам из полученных сообщений, заходите в сервисы через закладки, никогда не сообщайте код подтверждения и проверяйте, авторизован ли провайдер, по «белому списку» AMF^[3]. При малейшем сомнении остановите операцию и перезвоните провайдеру по номеру, который Вы нашли сами.

Правило 7 – Организуйте права доступа, обновления и реагирование на инциденты

Безопасность — это ещё и вопрос организации. На практике:

• Ограничьте права строго необходимым и отзывайте доступ у всех, кто покидает компанию.
• Своевременно обновляйте используемые устройства и приложения.
• Составьте одностраничную памятку «что делать в случае проблемы»: кого предупредить, какие доступы отключить, какие доказательства сохранить.

Руководство ANSSI по ИТ-гигиене, содержащее 42 меры безопасности, — полезная основа для организации этой работы^[4].

Самые частые ошибки

В небольших организациях инциденты редко бывают результатом изощрённой атаки. Чаще всего они возникают в обычных ситуациях: один сотрудник держит все доступы, фраза восстановления хранится в письме или на фото, платёж утверждён в спешке, потому что сообщение казалось срочным, или учётная запись бывшего сотрудника так и не была закрыта. Каждую из этих ситуаций устраняет одно из правил выше. Пересматривайте их раз в квартал всей командой как плановую проверку: именно тогда часто обнаруживается то, что изменилось незаметно.

С чего начать?

Если на этой неделе Вы сделаете только три вещи: включите многофакторную аутентификацию во всех учётных записях, связанных с криптовалютой, введите двойное подтверждение для исходящих средств и запишите, где и как хранятся ключи восстановления. Остальное можно делать постепенно.

Быстрая самопроверка

• Рабочие учётные записи и устройства отделены от личных
• Многофакторная аутентификация включена, менеджер паролей используется
• Фразы восстановления хранятся офлайн, в двух местах
• Порог двойного подтверждения определён
• Процедура проверки адресов оформлена письменно
• Команда обучена распознавать фишинг
• Права доступа пересмотрены, план реагирования на инциденты составлен