6 привычек для собственников, которые помогут спасти бизнес

✅ Хранить пароли в менеджере паролей
Не в Excel, не в Telegram, не в заметках телефона и не на стикерах под клавиатурой. Используйте корпоративный менеджер паролей — Bitwarden, 1Password, Keeper. Один мастер-пароль вместо сотни одинаковых, плюс возможность безопасно делиться доступами с командой и забирать их у ушедших сотрудников.

✅ Менять пароли по событиям, а не по календарю
Принудительная смена пароля каждый месяц приводит к обратному эффекту: сотрудники ставят «Password1», «Password2» и записывают рядом с компьютером.

Менять пароли нужно:
• при увольнении сотрудника, у которого был доступ;
• после любой утечки у вас или у сервиса, которым вы пользуетесь;
• раз в полгода — для ключевых учёток: админка сайта, хостинг, CRM, платёжный шлюз, регистратор домена.

✅ Включить двухфакторную аутентификацию для собственника и сотрудников
Речь не про покупателей, которые заходят в личный кабинет на сайте — там это излишне. Речь про защиту рабочих инструментов: через них уводят деньги и базы.
При входе на сервис кроме пароля запрашивается одноразовый код из СМС или приложения (Google Authenticator, Яндекс Ключ). По данным Microsoft, это блокирует более 99% автоматических попыток взлома — даже если пароль уже знают. Включается за 2 минуты, бесплатно.

Минимум, где должно быть включено: корпоративная почта собственника и сотрудников, CRM, хостинг и админка сайта, регистратор домена, платёжные сервисы, рекламные кабинеты, телеграм-боты с приёмом оплаты.

✅ Проверить, что бэкапы реально восстанавливаются
Сам факт, что резервные копии создаются, ничего не значит. Большинство хостингов делают бэкапы автоматически — но реальность такая: восстановление часто не работает, либо бэкап оказывается неполным. Раз в квартал нужно проверять, что из бэкапа реально можно развернуть рабочий сайт. Лучше узнать это в спокойный момент, чем во время инцидента.

✅ Зашифровать рабочие ноутбуки сотрудников
В Windows встроен BitLocker, в macOS — FileVault. Включается за 5 минут в настройках. Без шифрования любой потерянный или украденный ноутбук с клиентской базой — это автоматическая утечка с уведомлением Роскомнадзора и штрафом.

✅ Заказать аудит безопасности раз в полгода
Большинство взломов происходит через уязвимости, которые известны месяцами — их можно было закрыть заранее. Сами вы это не проверите: нужны специалисты, которые знают, что и как искать.

Что проверяют при техническом аудите:
• формы на сайте — можно ли через них получить доступ к базе;
• авторизацию — можно ли зайти под чужим аккаунтом;
• настройки сайта и хостинга — нет ли служебных страниц и файлов, доступных всем извне;
• настройки доступов и резервного копирования — где есть слабые места.

Что вы получаете на выходе:
• отчёт со списком уязвимостей и приоритетами — что закрывать первым;
• конкретные рекомендации, что и как исправить;
• консультация после отчёта — разбираем все вопросы простым языком.

Это то, что закрывают IT-специалисты и аудит безопасности. Без надёжной техники любые документы и регламенты не защитят от взлома и утечки.

Что нужно сделать:

✅ Уведомить Роскомнадзор о начале обработки данных
Самый простой шаг, про который большинство компаний просто не знает. Уведомление подаётся через Госуслуги или сайт Роскомнадзора за 30 минут, бесплатно — собственник делает сам. Без него — штраф до 300 тыс. ₽. Сделали — закрыли риск.

✅ Привести сайт в соответствие с ФЗ-152
Метрика, Google Analytics, пиксели соцсетей — всё это сбор персональных данных. На сайте должны быть: актуальная политика обработки данных, отдельные согласия под каждой формой заявки, баннер согласия на cookies. Без этого — штрафы и блокировка сайта Роскомнадзором. Подготовка документов — задача юриста, размещение и техническое подключение — задача разработчика сайта.

✅ Подписать договоры с подрядчиками правильно
Самое слепое пятно у малого и среднего бизнеса. Если данные ваших клиентов обрабатывают облачная CRM, сервис рассылок, бухгалтерия на аутсорсе, маркетинговое агентство, IT-подрядчик — формально вы как владелец бизнеса всё равно отвечаете за их утечки.
По статье 6 ФЗ-152 нужно поручение на обработку данных — отдельный документ или раздел в договоре с каждым таким подрядчиком. Без него вы платите штраф полностью, даже если виноват подрядчик. С ним — можете потом взыскать с него убытки. Текст поручения готовит юрист.

✅ Защититься от утечек через сотрудников
Большинство утечек — не хакеры, а свои: слили базу при увольнении, переслали файл в личную почту, оставили доступ после ухода. Что должно быть:

•соглашение о неразглашении (NDA) и положение о коммерческой тайне;
• регламент работы с персональными данными, под которым сотрудники расписались;
•отзыв всех доступов в день увольнения — по чек-листу, а не «когда вспомним».

Документы (NDA, положение, регламент) готовит юрист. Отзыв доступов — задача собственника или ответственного сотрудника.

✅ Привести в порядок документы по ФЗ-152
Нужны: политика обработки персональных данных, формы согласий под каждую цель сбора, положение о защите ПДн, приказ о назначении ответственного, поручения на обработку данных для подрядчиков, регламент действий при утечке. Эту часть нужно делать с профильным юристом по персональным данным.

Это зона юриста и собственника. Технический аудит здесь не поможет — нужны другие специалисты. Но без этой части даже идеально защищённый сайт не спасёт от штрафов Роскомнадзора, потому что РКН в первую очередь проверяет документы и порядок обработки данных.

Пройдитесь по пунктам. Каждый «нет» — это потенциальный штраф или утечка.

Мы работаем с командой, которая проводит такие проверки: с понятными отчётами и без лишней технической воды.
👉 lex-go.ru

Что входит в комплекс работ по техническому аудиту:
• аудит безопасности сайта и хостинга;
• проверка настроек доступов, паролей, бэкапов;
• отчёт с приоритетами и план действий — что закрывать первым;
• консультация после аудита простым языком, без воды.

Юридическая часть (документы по ФЗ-152, согласия, регламенты) — это работа профильного юриста, мы её не делаем. Если нужно — обращайтесь к юристу по персональным данным.