Libreng resource
Ang SMB IT Readiness Checklist
22 tanong na dapat masagot ng bawat maliit na negosyo sa Pittsburgh at Cleveland tungkol sa teknolohiya nito. Bawat isa ay may sagot na Berde, Dilaw, at Pula at isang susunod na hakbang. Maglaan ng humigit-kumulang 20 minuto.
Nasa pahinang ito ang buong checklist, at ang napi-print na scoring sheet ay may parehong mga tanong na may tick box.
Humigit-kumulang 20 minpara matapos
22 tanongsa 6 na domain
May scorepara malaman kung ano ang unang aayusin
Mga platform na saklaw
Paano gumagana ang rubric
I-click ang sagot na tumutugma sa negosyo ninyo ngayon. Lalabas ang kasalukuyang score ninyo sa seksyong Score yourself.
Berde: maayos ang kalagayan ninyoDilaw: sulit ayusin sa lalong madaling panahonPula: unahin ito
1. Identity at access
Ang nanakaw na password ay nagpapapasok sa umaatake nang diretso sa inyong email at mga file. Nauuna ang apat na tanong na ito dahil mura ang mga solusyon.
Q1.Kinakailangan ba ang multi-factor authentication para sa bawat user sa bawat business app?
BerdeIpinapatupad ang MFA sa Microsoft 365 / Google, VPN, remote access, banking, line-of-business app, at bawat admin account. Mas mainam kung phishing-resistant (passkey, FIDO2, o number-matching).
DilawMay MFA sa email ngunit wala sa iba pang app; o SMS-only na MFA (madaling ma-phish).
PulaOpsyonal o patay ang MFA.
Susunod na hakbang: Parehong kasama ang MFA sa Microsoft at Google nang walang dagdag na bayad. I-on ito sa lahat ng dako sa loob ng susunod na 30 araw.
Q2.Gumagamit ba ang mga empleyado ng password manager, at wala na bang paggamit-muli ng password?
BerdePassword manager na binabayaran ng kumpanya (1Password, Bitwarden, Keeper, Dashlane) na may shared vault, at ginagamit ito ng lahat.
DilawMay ilang gumagamit ng manager, ang iba ay inuulit ang password o itinatago ito sa spreadsheet.
PulaWalang manager, at karaniwan ang pana-panahong password tulad ng Summer2024.
Susunod na hakbang: Magbayad para sa business plan. Walang recovery, role-based sharing, at audit log ang mga libre at personal na plan. Maglaan ng $4 hanggang $8 bawat seat bawat buwan.
Q3.Mayroon bang pormal na proseso ng offboarding na nagbabawi ng access sa loob ng isang araw ng negosyo?
BerdeIsang checklist na nagdi-disable ng mga login, nagbabawi ng token, nagpapasa ng email, nagpapalit ng shared secret, at nangongolekta ng mga device, laging ginagawa sa parehong araw.
DilawNaisasara ang email at Microsoft 365, ngunit nananatili ang shared SaaS, VPN, o lumang token.
PulaMaaaring may access pa ang mga dating empleyado.
Susunod na hakbang: Gumawa ng isang pahinang offboarding checklist ngayong linggo. Ang bawat app na pinag-onboard-an na ng inyong team ng sinuman ay isasama sa listahan.
Q4.Sumusunod ba ang mga admin account sa least-privilege, at hindi ba ito ang parehong account na ginagamit ng tao sa pagbabasa ng email?
BerdeMagkakahiwalay na admin account para sa domain, Microsoft 365, firewall, at iba pa. Ang pang-araw-araw na email at pagba-browse ay gumagamit ng hindi-pribilehiyadong account. Ginagamit ang PIM o just-in-time access kung maaari.
DilawNapakaraming global admin, o iisang admin account ang ginagamit sa lahat.
PulaAdmin ang lahat sa sarili nilang makina, at ginagamit ng may-ari ang global admin para magbasa ng mail.
Susunod na hakbang: Sa Microsoft 365, buksan ang Active users, saka ang Admin roles, at paliitin sa iilang global admin. Gumawa ng mga nakalaang admin account na walang ibang ginagawa.
2. Mga backup at recovery
Sinasaklaw ng limang tanong na ito kung gaano kabilis kayong makakabalik sa trabaho kung mawala bukas ng umaga ang isang server, laptop, o ang inyong SaaS data. Ibilang lamang ang isang backup kapag nakapag-restore na kayo mula rito.
Q5.Bina-backup ba ninyo ang inyong SaaS data (Microsoft 365, Google Workspace, QuickBooks Online)?
BerdeTumatakbo ang third-party backup (Datto SaaS Protection, Afi, Dropsuite, Spanning) sa lahat ng SaaS, na may retention policy na sinuri ninyo.
DilawInaakala ninyong ang Microsoft o Google ang inyong backup. Limitado ang built-in na retention nila at hindi nito pinoprotektahan kayo laban sa sadyang pagbura.
PulaWalang anumang SaaS backup.
Susunod na hakbang: Pumili ng anumang kagalang-galang na SaaS backup at i-on ito ngayong linggo. Karaniwang $3 hanggang $6 bawat seat bawat buwan ang presyo.
Q6.Nakaimbak ba ang inyong mga backup sa kahit isang lokasyong hindi maaabot ng inyong regular na login?
BerdeSinusunod ninyo ang 3-2-1: tatlong kopya, dalawang uri ng media, isang off-site o immutable (S3 Object Lock, Wasabi Immutability, Datto).
DilawMay mga off-site backup kayo ngunit maaabot ang mga ito gamit ang parehong admin credential ng production.
PulaAng mga backup ay nasa parehong server, NAS, o domain ng data na pinoprotektahan nila.
Susunod na hakbang: Magdagdag ng immutable o air-gapped na destinasyon. Maaaring burahin ng umaatakeng nakakuha ng inyong admin login ang anumang backup na maaabot ng login na iyon.
Q7.Kailan ang huli ninyong matagumpay na restore test, hindi lang ang huling backup?
BerdeSa loob ng huling 90 araw, may tunay na file o VM na ibinalik upang mapatunayang gumagana ang backup.
DilawTumatakbo ang mga backup gabi-gabi ngunit walang aktwal na nag-restore mula rito sa nakaraang taon.
PulaHindi kayo sigurado kung kailan, o kung nasubukan na ba ang mga backup.
Susunod na hakbang: Mag-iskedyul ng quarterly na restore test ng isang kritikal na file, isang buong makina, at isang set ng cloud data. Ilagay ito sa kalendaryo bilang paulit-ulit na gawain.
Q8.Alam ba ninyo ang inyong RTO (gaano katagal kayong maaaring down) at RPO (gaano karaming data ang kaya ninyong mawala)?
BerdeAng bawat kritikal na sistema ay may nakasulat na RTO at RPO, napagkasunduan sa may-ari ng negosyo, at ang mga backup ay nakaayon upang matugunan ang pareho.
DilawMay ideya kayo, ngunit walang nakasulat o nabe-verify.
PulaHindi pa napag-usapan. Sa isang outage, mag-iimprobisa kayo.
Susunod na hakbang: Tanungin ang bawat pinuno ng departamento: kung mawala ito nang 9am, ano ang pinakahuling oras na kakailanganin ninyo itong maibalik? Ang mga sagot ang inyong RTO. Pagkatapos, tiyaking sapat ang dalas ng pagtakbo ng inyong mga backup para matugunan ang bawat RPO.
Q9.Kung mawalan ng kuryente at internet ang inyong pangunahing lokasyon sa loob ng 48 oras, patuloy bang gagana ang negosyo?
BerdeMga empleyadong may kakayahang mag-remote work, cloud phone system, dokumentadong mga hakbang sa failover.
DilawAng ilang staff ay makakapagtrabaho nang remote, ngunit offline ang mga pangunahing sistema (shared drive, line-of-business app, telepono).
PulaTitigil kayo sa operasyon hanggang bumalik ang site.
Susunod na hakbang: Sumulat ng isang pahinang continuity plan: sino ang tatawag kanino, ano ang maririnig ng mga customer sa telepono, at saan magtatrabaho ang mga staff.
3. Seguridad ng endpoint at email
Limang tanong tungkol sa mga device na ginagamit ng inyong team at sa email na dumarating sa mga ito.
Q10.Mayroon bang tumatakbo sa bawat laptop, desktop, at server na lampas sa built-in na antivirus?
BerdeManaged EDR (SentinelOne, CrowdStrike, Huntress, o Defender for Business na may taong nagbabantay sa mga alerto) sa 100% ng mga endpoint.
DilawNaka-on ang Defender o iba pang AV ngunit walang sumusuri sa mga alerto.
PulaBuilt-in AV lang, o may mga makinang walang anuman.
Susunod na hakbang: I-inventory ang bawat endpoint at tiyaking may makabagong EDR at taong nagbabantay sa mga alerto. Tingnan ang mga server at ang laptop ng may-ari, na madaling makaligtaan.
Q11.Napa-patch ba ang mga operating system at third-party na app sa loob ng takdang panahon?
BerdeIsang patch-management tool na may policy: kritikal na patch sa loob ng 7 araw, iba pa sa 30, at buwanang ulat ng compliance.
DilawAwtomatikong nag-a-update ang operating system, ngunit nahuhuli ang mga third-party na app (Adobe, Java, browser).
PulaIpinapatupad ang mga patch kapag may nakapansin.
Susunod na hakbang: Pumili ng patch-management tool (NinjaOne, PDQ, Intune, Action1) at magtakda ng policy. Isama ang mga browser at iba pang third-party na app kasama ng operating system.
Q12.Dumadaan ba ang papasok na email sa filter na nakakahuli ng phishing at impersonation, bukod pa sa native na filter ng provider?
BerdeMimecast, Proofpoint, Avanan, IRONSCALES, o katulad, na naka-on ang proteksyon laban sa impersonation.
DilawDefault na filter lamang ng Microsoft 365 o Gmail, at may ilang halatang phish na nakakarating pa rin sa inbox.
PulaWalang advanced na email filtering; nakalulusot ang mga email na nagpapanggap na CEO.
Susunod na hakbang: I-on ang mga advanced na anti-phishing policy na kasama na sa inyong license (Microsoft 365 Business Premium pataas), o magdagdag ng nakalaang secure email gateway. Maglaan ng $3 hanggang $5 bawat seat bawat buwan.
Q13.Mayroon ba kayong SPF, DKIM, at DMARC na naka-set up sa inyong sending domain?
BerdeNaka-configure ang lahat ng tatlo. Ang DMARC ay nasa p=reject o p=quarantine, at minomonitor ninyo ang mga aggregate report.
DilawNaka-set ang SPF at DKIM, ngunit ang DMARC ay nasa p=none (pag-uulat lamang).
PulaWalang naka-set sa tatlo, o may klasikong +all o ?all na pagkakamali ang SPF.
Susunod na hakbang: Suriin ang inyong domain sa mxtoolbox.com. Kung walang ipinapatupad na DMARC policy, maaaring magpadala ang ibang tao ng email na mukhang galing sa inyong domain.
Q14.Naka-on ba ang full-disk encryption sa bawat laptop?
BerdeNaka-enable ang BitLocker (Windows) o FileVault (Mac) sa 100% ng mga laptop, na ang mga recovery key ay naka-escrow sa Entra ID, Intune, o Jamf.
DilawNaka-enable sa karamihan ng laptop ngunit walang sentral na vault ng recovery key.
PulaHindi naka-enable, o hindi alam.
Susunod na hakbang: Mababasa ng sinumang makakita ng laptop na walang encryption ang mga file nito. Built-in sa Windows at macOS ang BitLocker at FileVault, at isang policy lang ang kailangan para i-on ang mga ito.
4. Network at remote access
Sinasaklaw ng seksyong ito ang firewall, kung paano hinahati ang network, at kung paano kumokonekta ang mga staff mula sa labas ng opisina.
Q15.Makabago, suportado, at sinusuri ba nang hindi bababa sa taun-taon ang inyong firewall?
BerdeIsang current-generation na firewall (Fortinet, Palo Alto, SonicWall, Meraki, OPNsense) na may aktibong license, naka-on ang intrusion prevention, at sinusuri taun-taon ang mga rule.
DilawMay firewall ngunit nag-expire na ang license, at hindi pa nasusuri ang mga rule.
PulaConsumer router, end-of-life na firewall, o default na mga rule na hindi kailanman na-configure.
Susunod na hakbang: Ang firewall na lampas na sa end of life ay hindi na nakakakuha ng security update. Tiyaking suportado pa ang modelo at i-renew ang mga license.
Q16.Magkakahiwalay ba ang network ng mga guest device, IoT (camera, thermostat, printer), at laptop ng mga empleyado?
BerdeSegmented: isang production VLAN, isang IoT VLAN, at isang guest network na may client isolation. May sarili ring VLAN ang mga printer.
DilawMay guest network ngunit nasa pangunahing network ang mga IoT device.
PulaLahat ay nasa iisang flat na network.
Susunod na hakbang: Sa flat na network, maaaring maabot ng nakompromisong thermostat ang inyong file server. Sa mga makabagong access point at managed switch, humigit-kumulang isang hapon lamang ang pag-segment ng maliit na opisina.
Q17.Paano kumokonekta ang mga empleyado sa trabaho nang remote, at ligtas ba ang paraang iyon?
BerdeSingle sign-on kasama ang zero-trust access (Cloudflare Access, Tailscale, Twingate) o makabagong VPN na may MFA. Walang bukas na RDP sa internet.
DilawLumang VPN na username at password lamang.
PulaRDP o remote tool na nakalantad sa internet na may shared na credential.
Susunod na hakbang: Isara ngayon ang anumang RDP port na bukas sa internet, at ilipat ang remote access sa likod ng VPN o zero-trust tool na may MFA.
5. Incident response at mga asset
Sinasaklaw ng tatlong tanong na ito kung ano ang gagawin ninyo sa unang kalahating oras ng isang insidente, kung nakakakilala ng phish ang mga staff, at kung alam ninyo kung anong kagamitan ang pag-aari ninyo.
Q18.Mayroon ba kayong nakasulat na incident-response plan na kasya sa iisang pahina?
BerdeOo: mga contact, decision tree, kung sino ang tatawag sa cyber-insurance carrier, kung sino ang makikipag-usap sa mga customer, at kung saan nakalagay ang plano. Sinusuri taun-taon.
DilawMay plano ngunit walang nakabasa nito sa loob ng dalawang taon.
PulaWalang plano.
Susunod na hakbang: Isulat ang plano sa isang pahina kasama ang mga nakalista sa ilalim ng Berde, magtabi ng nakaprint na kopya, at suriin ito minsan sa isang taon.
Q19.Nakapagsanay na ba ang mga empleyado sa phishing awareness sa nakalipas na 12 buwan?
BerdeOo, sa pamamagitan ng kagalang-galang na platform (KnowBe4, Hoxhunt, Wizer, Curricula), at bumababa ang rate ng mga nag-click.
DilawMinsanang training sa pag-hire, wala nang sumunod.
PulaWalang training.
Susunod na hakbang: Hindi kailangang isang buong araw na klase ang training. Gumamit ng limang-minutong buwanang video na may na-grade na simulated phish.
Q20.Mayroon ba kayong kumpleto at napapanahong asset inventory (sino ang may anong laptop, anong mga server ang mayroon, ano ang nasa cloud)?
BerdeAwtomatikong pinananatiling inventory mula sa RMM o MDM (Intune, NinjaOne, Jamf), na ina-update nang real time.
DilawIsang spreadsheet na ina-update ng isang tao minsan sa isang taon.
PulaNalalaman ninyo kung anong mga asset ang mayroon kayo sa pamamagitan ng paglilibot.
Susunod na hakbang: Pumili ng RMM o MDM at hayaan itong buuin ang inventory para sa inyo.
6. Mga vendor at dokumentasyon
Dalawang tanong: ang mga kumpanyang may hawak ng inyong data, at ang kaalamang nasa isip lamang ng isang tao.
Q21.Kung ang isang pangunahing vendor (accounting platform, file-sharing tool, CRM) ay magkaroon ng breach ngayong weekend, alam ba ninyo kung anong data ang hawak nila para sa inyo?
BerdeMay maikli kayong listahan ng inyong mga pangunahing vendor, kung anong data ang hawak ng bawat isa, at kopya ng pinakabago nilang security report.
DilawNagtitiwala kayo sa inyong mga vendor ngunit hindi pa kayo kailanman nagtanong sa kanila nang nakasulat.
PulaWala kayong listahan. May mangyayaring breach sa vendor at sa balita ninyo ito malalaman.
Susunod na hakbang: Piliin ang tatlong pinakasensitibo sa data na vendor at hilingin sa bawat isa ang kanilang pinakabagong security report. Kung hindi makapagbigay ang isang vendor, itala iyon bilang panganib.
Q22.Kung wala bukas ang nag-iisang taong nakakaalam kung paano gumagana ang lahat ng IT, may ibang makakaalam ba nito?
BerdeAng mahahalagang bagay (nasaan ang mga sistema, paano makapasok, sino ang tatawagan) ay nakasulat sa lugar na mahahanap ng katrabaho, at ina-update kapag may nagbago.
DilawIsang engineer o may-ari ang single point of failure kung paano gumagana ang lahat.
PulaIsang tao lang ang nakakaalam, at walang nakasulat.
Susunod na hakbang: Mag-iskedyul ng isang oras bawat buwan upang isulat ang mga bagay sa IT na isang tao lamang ang nakakaalam.
I-score ang sarili ninyo
Binibilang dito ang inyong mga sagot na Berde, Dilaw, at Pula sa 22 tanong habang nagki-click kayo.
Nakasagot na kayo ng 0 sa 22. I-click ang sagot na tumutugma sa inyo sa bawat tanong sa itaas.
0Berde
0Dilaw
0Pula
0/22Nasagot
18 o higit pang Berde: maayos ang kalagayan ninyo. Panatilihin ito sa pamamagitan ng quarterly na restore test, buwanang patching, at taunang pagsusuri ng policy.
11 hanggang 17 Berde: halos nariyan na ang mga batayan. Piliin ang tatlong pinakamabigat na Dilaw at tapusin ang mga ito sa loob ng 90 araw.
Wala pang 11 Berde, o anumang Pula sa Q1, Q5, Q6, Q10, o Q14: ayusin muna ang anumang Pula sa limang tanong na iyon, saka ang iba pang Pula, at saka ang mga Dilaw.
Kumuha ng pangalawang opinyon
Nag-aalok ang KawaConnect ng libreng IT readiness call sa maliliit na negosyo sa Western Pennsylvania at Northeast Ohio. Ipaliwanag sa amin ang inyong mga sagot at sasabihin namin kung ano ang uunahin naming ayusin at humigit-kumulang kung magkano ito. Para sa tuloy-tuloy na tulong, tingnan ang aming serbisyong managed IT.
Mag-book ng libreng readiness callI-download ang scoring sheet0 / 22 ang nasagotTingnan ang aking score
