Audyt bezpieczeństwa konta

Audyt robi się wtedy, gdy konto jeszcze działa. To najtańszy moment na zajęcie się bezpieczeństwem i jedyny, w którym pracuje się na spokojnie, bez presji odliczanego czasu. Sprawdzamy, którędy ktoś realnie mógłby wejść na profil, i które z tych drzwi zostały otwarte przez lata używania konta.

Co sprawdzamy

• Aktywne sesje i urządzenia. Lista miejsc, w których konto jest zalogowane, bywa dłuższa, niż ktokolwiek się spodziewa: stary telefon, laptop oddany komuś w firmie, komputer w hotelu, przeglądarka na sprzęcie, którego już nie masz. Każda z tych sesji to otwarte drzwi.
• Aplikacje i usługi z dostępem do konta. Planery postów, narzędzia analityczne, aplikacje do konkursów, filtry, sklepy, quizy sprzed lat. Wiele z nich ma uprawnienia do publikowania i czytania wiadomości, a część firm, które je stworzyły, dawno nie istnieje.
• Powiązania z Facebookiem, stroną i Business Managerem. Sprawdzamy, co jest do czego podpięte i czyje konto osobiste jest ostatecznym właścicielem tej konstrukcji. To miejsce, w którym najczęściej wychodzi, że firma nie jest właścicielem własnego profilu.
• Dane odzyskiwania. Adres e-mail i numer telefonu przypisane do konta: czy nadal są Twoje, czy skrzynka ma własne dwuskładnikowe logowanie i czy nie jest to adres, do którego dostęp ma pół zespołu albo były pracodawca.
• Hasło: siła i unikalność. Nie chodzi o liczbę znaków specjalnych, tylko o to, czy tego samego hasła nie ma w innych serwisach i czy nie pojawiło się w znanych wyciekach danych.
• Ustawienia prywatności i to, co konto pokazuje publicznie. Adres e-mail w bio, numer telefonu w danych kontaktowych, lokalizacja domu na zdjęciach. To materiał, z którego składa się przekonującą próbę podszycia się pod Ciebie albo pod platformę.
• Uprawnienia osób w zespole. Kto ma jaką rolę, czy zakres odpowiada temu, co ta osoba faktycznie robi, i czy na liście nie zostały osoby, które już z Tobą nie pracują.

Co dostajesz na koniec

Raport z listą konkretnych napraw uszeregowaną według ryzyka, a nie według kolejności sprawdzania. Podzielony na to, co zrobić dzisiaj, co w tym tygodniu i co przy okazji. Przy każdym punkcie jest napisane, gdzie w ustawieniach się to znajduje i co dana zmiana faktycznie zmienia, więc da się go wykonać samodzielnie. Raport zostaje u Ciebie i jest gotową listą kontrolną na kolejny przegląd.

Kiedy audyt ma największy sens

Po odzyskaniu konta, bo dopóki nie wiadomo, którędy weszli, historia może się powtórzyć. Po kliknięciu w podejrzany link, nawet jeśli pozornie nic się nie stało. Przed dużą kampanią albo premierą, kiedy utrata profilu kosztuje najwięcej. Przy każdej zmianie w zespole. I zawsze wtedy, gdy konto zarabia, bo wtedy przestaje być prywatnym profilem, a staje się narzędziem pracy. Podstawy, które warto ogarnąć samemu, zebraliśmy w poradniku jak zabezpieczyć konto.

Audyt kończy się listą, nie zmianami w ustawieniach. Jeśli wolisz, żeby ktoś przeszedł przez tę listę razem z Tobą i domknął ją do końca, to wdrożenie ochrony. Przy koncie firmowym, w które zamieszani są pracownicy i agencja, sensowniej zacząć od uporządkowania dostępów w zespole.