Струва нула: безплатното ръководство на NIST като чеклист с помощта на AI

Накратко

На 2 ноември NIST публикува ръководство по киберсигурност на прост език за хора, които работят сами. Нарича се Small Business Cybersecurity: Non-Employer Firms (CSWP 50).
Включва основи като бекъпи, обновен софтуер и смяна на паролите по подразбиране, с работни листове за проследяване.
Парите: първият преглед от консултант може да струва няколко стотини евро. Собствен чеклист от това ръководство направиш за около две часа, с AI асистент, който вече ползваш.

Ако работиш сам, си и своя IT отдел. Никой не обновява лаптопа ти, никой не проверява бекъпите, никой не забелязва, че рутерът все още има паролата от стикера. NIST току-що написа ръководство точно за такъв човек. Ето как да го направиш работещ чеклист за един следобед.

Какво е ръководството и кой го е написал

NIST е Американският национален институт по стандарти и технологии. На 2 ноември той пусна Small Business Cybersecurity: Non-Employer Firms, познат като NIST Cybersecurity White Paper 50. Документът замества по-стария NISTIR 7621 и е по-узък нарочно. Той се занимава само с защитата на дигиталните системи от злонамерени атаки.

Ръководството е за „solopreneur“ бизнеси, тоест там, където единственото платено лице си ти. NIST казва, че в САЩ такива са над 28 милиона малки бизнеса. Съдържанието идва от NIST Cybersecurity Framework 2.0, но е написано за хора без нито един опит в сигурността.

Структурата е проста. Всяка препоръчана стъпка има три части: защо я правиш, как да започнеш и какво да направиш по-късно, когато бизнесът расте. Един пример от самия NIST: смени паролите по подразбиране на устройства като Wi-Fi рутери, защото престъпниците лесно ги намират. Ръководството посочва и редовни бекъпи и обновен софтуер като първи стъпки.

В края има работни листове. Един ти помага да направиш списък на тези активи, които могат да бъдат атакувани. Друг проследява какво вече си направил. Има и три примерни бизнеса: адвокат, занаятчия и бизнес консултант.

NIST е ясен за ограниченията. Документът не е изчерпващ и няма да покрие всеки случай. Това е начална точка.

Колко струва

Ръководството на NIST: безплатен публичен документ на nist.gov. В съобщението няма регистрация.
AI асистент: безплатният план на този, който вече ползваш, стига за тази работа. Ако плащаш план, не доплащаш нищо.
Твоето време: около два часа за първия преход.
Алтернатива, консултант по сигурност: цената се колебае много. За сметката по-долу взимам €80 на час.

Сметката: първи преглед от фрийланс консултант, шест часа по €80, е €480. Ако направиш първия преход сам с AI асистент, това са около два часа. Ако часът ти струва €30, са €60 време. Запазваш около €420. Това са мои допускания, не числа на NIST. Сложи твоите цени.

Стъпка по стъпка: от ръководство до чеклист

Свали ръководството. Отиди на nist.gov и търси CSWP 50 или заглавието. Запази PDF. Прочети първата част една единствена първо. Тя е въведение и е кратка.
Напиши списъка с активите си с прости думи. Без инструменти за сега. Отвори бележка и напиши: всеки устройство, с което работиш, всеки акаунт, който докосва пари или клиенти (банка, имейл, админ на магазина, хостинг, платежен доставчик) и къде стоят важните файлове. Един ред за всеки.
Махни личното, преди да ползваш AI. Не лепи пароли, API ключове, имена на клиенти или данни на карти в никакъв чат. Пиши „основен имейл“ и „админ на магазина“, не самия вход.
Дай на AI двата документа. Лепи списъка с активи и разделите с действия от ръководството. Ползвай такъв промпт: „Сам работя като единствен собственик на бизнес. Това е списъкът ми с активи и ръководството на NIST за такива бизнеси. Направи чеклист с 10-те най-важни действия за моя бизнес, подредени от най-лесното към най-трудното. За всеки кажи какво да направя за под 15 минути и какво да проверя. Ползвай само това, което е в ръководството, и маркирай всичко, което добавяш сам.“
Провери отговора спрямо ръководството. AI асистентите измислят неща. Отвори ръководството и потвърди, че всяко действие съществува там. Изтрий или маркирай тези, които не са.
Направи петте най-лесни действия днес. Смени паролите по подразбиране на рутера и на всяко устройство, което все още ги има. Включи автоматични обновявания на компютъра, телефона и основните приложения. Настрой бекъп на важните файлове и тествай да отвориш един възстановен файл.
Сложи останалото в календара. Дай на всяка от останалите дата в следващите четири седмици. Използвай работния лист на NIST, за да маркираш направеното.

Къде прилага това в реален бизнес

Вземи онлайн магазин. Данните на клиенти, поръчките и файловете с доставчици стоят в няколко акаунта. Ако работя нещо като GiantParts, списъкът с активи е кратък: админ на магазина, хостинг, имейл, платежен доставчик и лаптоп. Този метод се справя добре с такъв кратък списък. Рискът не е екзотичен. То е слаба парола на един от тези пет.

Ограничения и слаби места

Ръководството е написано за малки бизнеси в САЩ. Законите и задълженията за докладване в твоята държава могат да са различни.
NIST казва, че документът не покрива всеки случай. Магазин с служители или сървър по мярка иска повече.
AI асистентите могат да добавят измислени съвети, които звучат вярно. Това е причината за стъпка 5.
Чеклист не е защита, докато не направиш нещата в него. Повечето хора спират след списъка.

Алтернативи

Самата NIST Cybersecurity Framework 2.0, ако искаш пълната версия. Тя е по-дълга и е написана за по-големи организации.
Еднократен платен преглед от местен IT консултант, ако държиш данни на карти или имаш служители.
Вградените проверки за сигурност на имейла, хостинга и банката ти. Бързи са и безплатни.

Мнението на Иван

Това струва един следобед. Ценността не е в PDF-а, а в това да го превърнеш в чеклист с дати за собствената ти система. Бих направил стъпки 2 до 6 тази седмица и ще сложа останалото в календара. Пропусни фините инструменти, докато не направиш скучните пет.

Източник: NIST

За автора

Ivan Ivanov

Основател на