NIST برای «سولوپرنیور»ها راهنمای امنیت سایبری داد — چکلیست بدون تیم IT
نویسنده: آرش لطیفی — موسس The DevArt
راهنمای تازهی NIST CSWP 50 برای کسبوکارهای تکنفره: چطور با بکاپ، MFA، پسورد پیشفرض و بکاپ ایزوله ریسک فیشینگ و باجافزار را کم کنی — به زبان آدمیزاد.
TL;DR — NIST اول نوامبر ۲۰۲۶ راهنمای CSWP 50 را مخصوص کسبوکارهای بدون حتی یک کارمند منتشر کرد؛ هستهاش شش تابع CSF 2.0 است و دو تهدید اصلی فیشینگ و باجافزار — و تقریباً همهی اقداماتش برای یک فروشگاه تکنفرهی ایرانی هم قابل اجراست.
ماجرا چیست
اگر خودت همهکارهای، یعنی «سولوپرنیور» — فروشگاه آنلاینی که خودت اداهش میکنی یا فریلنسری که کل کسبوکارش توی لپتاپش است — امنیت معمولاً آن آیتم لیست است که همیشه به تعویق میفتد. NIST (مؤسسهی ملی استاندارد و فناوری آمریکا) دقیقاً برای همین آدمها یک وایتپیپر تازه منتشر کرده: NIST CSWP 50 — Small Business Cybersecurity: Non-Employer Firms، انتشار ۲ نوامبر ۲۰۲۶.
چند نکته که این سند را از راهنماهای معمولی جدا میکند:
- به زبان غیرفنی نوشته شده و «فرض میکند خواننده هیچ پیشزمینهای از امنیت سایبری ندارد» — نقل مستقیم از دانیل الیوت، یکی از نویسندهها.
- جایگزین سند قدیمی NISTIR 7621 است؛ نسخهی قبلی برای همهی سایزهای کسبوکار کوچک بود، این یکی مخصوص «non-employer firms» یعنی کسبوکارهایی که تنها کارمندشان خود مالک است.
- برای هر اقدام سه ستون دارد: چرا این کار را بکنی، چطور شروع کنی، وقتی بزرگتر شدی چه کنی — و هر اقدام به بخش مربوطش در CSF 2.0 ارجاع دارد.
شش تابع CSF 2.0 — اسکلت کل راهنما
کل راهنما روی شش تابع چارچوب امنیت سایبری NIST سوار است:
| تابع | یعنی چه | | --- | --- | | Govern | تعیین و پایش استراتژی و قوانین مدیریت ریسک | | Identify | فهمیدن اینکه الان دقیقاً چه ریسکی داری | | Protect | جلوگیری یا کم کردن ریسک (MFA، بکاپ، آپدیت) | | Detect | پیدا کردن نشانههای حمله یا نفوذ | | Respond | اقدام بعد از شناسایی حادثه | | Recover | برگرداندن دادهها و عملیات بعد از حادثه |
دو تهدیدی که NIST رویشان مانور میدهد
۱. فیشینگ. راهنما صریح میگوید فیشینگ «از بزرگترین تهدیدها برای یک کسبوکار است» و معمولاً راه رساندن باجافزار است. نکتهی تازهاش: هوش مصنوعی حالا فیشینگها را «مصداقاً باورنکردنیتر» میسازد، پس روی پیامهایی که از تو میخواهند سریع کاری بکنی (کلیک، دانلود، واریز، لاگین) دو-سه بار فکر کن. راه تأیید هم مشخص است: با شماره یا کانال معلوم و قبلی خود طرف تماس بگیر، نه با لینک داخل خود پیام. و حتماً به آدرس فرستنده نگاه کن — بانکی که از جیمیل عادی ایمیل میفرستد، بانک نیست.
۲. باجافزار. تعریف راهنما: مجرمها دیتای تو را رمز میکنند و برای برگرداندنش پول میخواهند. نکتهی مهم برای فروشگاهها: ریسک فقط فایلهای لوکالت نیست — اکانتهای ابری و SaaS هم هدفاند (پنل فروشگاه، درگاه پرداخت، درایو ابری). اقدامات پیشنهادی: بکاپ امن و ایزوله که تست برگرداندنش را هم کرده باشی، اکانتهای استاندارد با MFA به جای اکانت ادمین برای کار روزمره، نصب سریع آپدیتها، و اینکه لیست تماسهای اضطراری (پشتیبانی هاست، مشاور حقوقی) از قبل آماده باشد. و یک جملهای که کمتر کسی میگوید: بیمهی سایبری برای کسبوکارهای کوچک میتواند فشار مالی حادثه را کم کند.
چکلیست شروع سریع برای کسبوکار تکنفره
- [ ] پسورد پیشفرض همهی دستگاهها (مودم، روتر، دوربین) عوض شده و برای هرکدام پسورد یکتا گذاشتهای
- [ ] MFA روی همهی اکانتهای حیاتی (ایمیل، پنل هاست، درگاه پرداخت، شبکههای اجتماعی فروش) فعاله
- [ ] بکاپ خودکار داری، بکاپ حداقل یک نسخه آفلاین/ایزوله است، و یک بار برگرداندنش را تست کردهای
- [ ] آپدیت سیستمعامل و همهی نرمافزارها (بهخصوص فروشگاهساز و پلاگینها) خودکاره
- [ ] آنتیویروس فعاله و تعریفهایش خودکار آپدیت میشود
- [ ] لیست اثرها (device inventory) داراییهای دیجیتالت را یک بار نوشتهای — سایت، دامنه، اکانتها، دستگاهها
- [ ] برنامهی «اگر باج گرفتم چه کنم» یک خطی داری: قطع شبکه، پشتیبانی هاست، گزارش، برگرداندن از بکاپ
چرا برای بازار ایران هم بهدرد میخورد
راهنما برای آمریکاست ولی هیچ اقدامی در آن وابسته به ابزار تحریمی یا سرویس خاصی نیست — پسورد یکتا، MFA، بکاپ ایزوله، آپدیت بهموقع و تأیید درخواستهای مالی از کانال جداگانه، همه جایی کار میکند. اتفاقاً در بازار ایران فیشینگ «تغییر شماره شبا و تغییر فاکتور» خیلی رایج است: اگر مشتری یا تأمینکنندهای وسط چات گفت «حساب عوض شد، به این شماره واریز کن»، دقیقاً همان قانون NIST را اجرا کن — با شمارهی قبلی و معلوم تماس بگیر و تأیید کن. این یک اقدام پنجدقیقهای است که میتواند جلوی ضرر چند ده میلیونی را بگیرد.
منتقدان در بحث Hacker News هم حق میدهند که حتی راهنمای ساده، بدون ترجمه به «کار روزمره» اثر واقعی ندارد — پس همان روزی که این را میخوانی، چکلیست بالا را اجرا کن، نه «بعداً».
Q: راهنمای NIST CSWP 50 دقیقاً برای کیست؟
برای «non-employer firms» یعنی کسبوکارهایی که تنها کارمندشان خود مالک است — همان سولوپرنیورها. به گفتهی NIST در آمریکا بیش از ۲۸ میلیون کسبوکار در این دستهاند. برای کسبوکارهای با چند کارمند کم و IT حداقلی هم مفید دانسته شده.
Q: مهمترین سه اقدام اگر فقط وقت یک روز دارم؟
طبق خود راهنما: بکاپ منظم و تستشده، آپدیت بهموقع نرمافزارها، و MFA بههمراه عوض کردن پسوردهای پیشفرض. اینها بیشترین کاهش ریسک را با کمترین هزینه و دانش فنی میدهند.
Q: باجافزار زد، بکاپ دارم — پول بدهم؟
راهنمای NIST پرداخت را توصیه نمیکند؛ تأکیدش روی بکاپ امن و ایزوله است که برگرداندن را ممکن کند، بهعلاوه لیست ازقبل آمادهی تماسهای اضطراری و اینکه بیمهی سایبری میتواند فشار مالی پاسخ و بازیابی را کم کند. عملیترین تصمیم را با پشتیبانی هاست و مشاور حقوقی بگیر.