Криптобезопасность в компании: защитите Ваши ключи, доступы и платежи

Почему криптовалюта требует особого подхода к безопасности

Мошеннический банковский перевод иногда можно оспорить. Перевод криптоактивов, напротив, как правило, необратим: если злоумышленник получит Ваши доступы или Вы ошибётесь адресом, звонить в службу поддержки бесполезно. Поэтому безопасность опирается на Ваши процедуры, а не на возможность исправить ситуацию задним числом.

Основы

• Разделяйте рабочее и личное. Отдельные учётные записи, кошельки и устройства — и никогда ключ компании в личном аккаунте.
• Многофакторная аутентификация везде, предпочтительно с физическим ключом или специальным приложением, а не по SMS.
• Защищайте ключи и фразу восстановления. Офлайн, в нескольких экземплярах, в разных местах, без фото и без копии в облаке.
• Проверяйте каждый адрес и делайте тестовый платёж перед крупной суммой.

Эти правила подробно описаны в нашем руководстве 7 правил криптобезопасности в компании.

Мультиподпись и двойное подтверждение: не зависеть от одного человека

Кошелёк с мультиподписью (multisig) требует нескольких подтверждений для проведения операции: например, двух подписей из трёх назначенных лиц. Для МСП это цифровой аналог чека, требующего двух подписей. Его преимущества вполне конкретны:

• одного скомпрометированного устройства недостаточно, чтобы опустошить кошелёк;
• отсутствие или уход одного человека не останавливает работу;
• каждая операция оставляет след: кто что утвердил.

Мультиподпись подходит не для всех случаев: она усложняет работу и должна быть протестирована, прежде чем размещать на ней значительные суммы. В очень небольшой организации может быть достаточно организационного двойного подтверждения (один готовит, другой утверждает) у авторизованного кастодиального провайдера. Мы помогаем Вам выбрать с учётом Вашего размера, сумм и вариантов использования.

Права доступа, обновления и план реагирования

• Кто что может делать. Подготовка, утверждение и исполнение — разные роли. Права пересматриваются при каждом приходе или уходе сотрудника.
• Актуальные версии устройств и программ, без лишних расширений браузера на компьютерах, с которых управляют средствами.
• Фишинг и поддельная поддержка. Ни одна официальная служба поддержки никогда не попросит Вашу фразу восстановления. Письменное правило, известное всем, предотвращает ошибки под давлением.
• План реагирования. Что делать в течение часа, если доступ скомпрометирован: кого предупредить, что отключить, с кем связаться.

С чего начать: пять вопросов

1. Кто в компании сегодня может распоряжаться средствами?
2. Где хранятся ключи и фразы восстановления и у кого к ним есть доступ?
3. Может ли один человек единолично утвердить значительную операцию?
4. Что произойдёт, если этот человек отсутствует, уходит из компании или его доступ скомпрометирован?
5. Умеют ли Ваши команды распознавать поддельную поддержку или поддельного поставщика?

Если Вы не уверены более чем в одном ответе, диагностика поможет расставить приоритеты до того, как это заставит сделать инцидент.

Что делает Si0x

Мы исходим из Вашей реальной ситуации: что Вы храните или получаете, у кого есть доступ, какими инструментами Вы пользуетесь. Мы выявляем слабые места, предлагаем соразмерные правила и оформляем их письменно, а затем обучаем Ваши команды их применять. Si0x не хранит Ваши ключи и не управляет Вашими средствами.

Эти правила дополняют правила надлежащего использования: см. наше сопровождение по криптоплатежам в компании и обучение криптовалюте для компаний, чтобы повысить осведомлённость Вашей команды.