Bezpieczeństwo social mediów dla firm i twórców

W firmie konto rzadko ma jednego właściciela. Ma za to historię: zakładał je stażysta, potem przejęła agencja, po drodze ktoś podpiął konto reklamowe do prywatnej karty, a hasło krąży po czacie zespołu. Taka konstrukcja działa do pierwszego problemu, a potem okazuje się, że firma nie ma dostępu do własnego profilu i nie bardzo wie, od kogo go żądać.

Gdzie firmy tracą kontrolę nad kontem

• Konto firmowe na prywatnym profilu pracownika. Profil firmowy zawsze wisi na osobistym koncie osoby, która nim zarządza. Jeśli to prywatne konto pracownika, jego odejście, blokada albo przejęcie przez oszusta uderza bezpośrednio w firmę.
• Brak procedury przy odejściu z firmy. Nikt nie odbiera dostępów, bo nikt nie prowadzi listy tego, kto co ma. Po dwóch latach ustalenie tego jest osobnym projektem.
• Agencja z pełnym dostępem. Współpraca się kończy, a uprawnienia zostają. Bywa też odwrotnie: to agencja jest właścicielem konta reklamowego czy piksela, więc klient odchodzi bez historii kampanii i bez danych.
• Konto reklamowe i płatności. Przejęty profil z aktywną kartą to nie tylko utrata zasięgów. Wydatki naliczają się w czasie rzeczywistym, a zatrzymanie ich wymaga dostępu, którego akurat nie ma.
• Wspólne hasło. Jedno hasło na czacie oznacza, że dwuskładnikowe logowanie jest ustawione na czyimś prywatnym telefonie. Gdy ta osoba odchodzi albo zmienia numer, zostaje pat.

Co porządkujemy

• Właściciela na poziomie firmy. Profile, strony, konta reklamowe i piksele mają należeć do firmowego Business Managera, a ludzie mają dostawać do nich dostęp imiennie. Wtedy odejście pracownika odbiera mu uprawnienia, zamiast odcinać firmę od jej własnego majątku.
• Role i uprawnienia. Przegląd, kto czym może zarządzać, i sprowadzenie tego do zakresu potrzebnego do pracy. Pełna administracja dla wszystkich to jednocześnie najczęstsze i najgorsze ustawienie, jakie spotykamy.
• Rozdzielenie prywatnego od firmowego. Konta osobiste zabezpieczone osobno, dostęp do profili firmowych nadany przez strukturę firmy, a nie przez prywatne znajomości i wspólne hasła.
• Agencje i podwykonawców jako partnerów. Współpracownicy zewnętrzni dostają dostęp o określonym zakresie i z datą przeglądu, a nie stałe uprawnienia administratora. Zakończenie umowy jest wtedy jedną decyzją, a nie negocjacją.
• Procedurę na wypadek incydentu. Jedna kartka: kto reaguje, kogo powiadamia, co robi w pierwszej godzinie, gdzie leżą kody zapasowe i kto ma do nich dostęp poza jedną osobą. Szerzej o tej pierwszej godzinie piszemy przy reakcji na incydent.
• Szkolenie zespołu. Krótkie i na przykładach wiadomości, które ludzie w tej firmie faktycznie dostają: fałszywe zgłoszenia naruszenia praw autorskich, propozycje współpracy z linkiem do panelu partnera, prośby o przesłanie kodu. Najsłabszym punktem jest zwykle człowiek pod presją czasu, a nie ustawienie w panelu.

Od czego zaczynamy

Od inwentaryzacji: co firma faktycznie posiada, kto ma do czego dostęp i co się stanie, gdy zabraknie konkretnej osoby. Zwykle to jest ten moment, w którym wychodzi, że jedno z kont wisi na profilu kogoś, kto odszedł dawno temu, albo że nikt w firmie nie jest administratorem strony na Facebooku. Zakres i kolejność prac ustalamy dopiero po tym przeglądzie, bo w jednej firmie są to trzy zmiany w ustawieniach, a w innej odzyskiwanie strony i przenoszenie całej struktury.

Jeśli chcesz zacząć od samego sprawdzenia stanu, tym zajmuje się audyt bezpieczeństwa. Konfigurację po stronie kont osobistych, których dotyczy każdy dostęp firmowy, opisujemy przy wdrożeniu ochrony.