Рекламный кабинет сегодня представляет собой гораздо больше, чем интерфейс для запуска объявлений. В нем могут храниться платежные данные, статистика кампаний, информация об аудиториях, история расходов и настройки, над которыми маркетологи работали месяцами. Для агентства ситуация еще серьезнее: сотрудники одновременно получают доступ к аккаунтам нескольких или даже десятков клиентов. Поэтому компрометация одной учетной записи способна привести не только к финансовым потерям, но и к остановке действующих рекламных кампаний.
Защита рекламных аккаунтов должна начинаться с учетных записей сотрудников, однако ограничиваться паролями и двухфакторной аутентификацией не стоит. В компании необходимо контролировать и сетевое взаимодействие, особенно если через корпоративную инфраструктуру проходит большое количество данных. Для построения такого уровня защиты может использоваться Российский межсетевой экран нового поколения NGFW https://triz.tech, позволяющий сделать сетевую безопасность частью общей системы защиты компании. Особенно актуальным комплексный подход становится для агентств и крупных маркетинговых отделов, где с рекламными платформами ежедневно работают сразу несколько специалистов.
Один пароль не должен открывать доступ всей команде
Одна из наиболее рискованных практик — использование общей учетной записи несколькими сотрудниками. Логин и пароль постепенно оказываются в мессенджерах, заметках, браузерах разных компьютеров и других местах. Когда сотрудник покидает компанию, становится сложно даже определить, сохранился ли у него доступ.
Намного безопаснее предоставлять каждому специалисту отдельную учетную запись и назначать необходимые права штатными средствами рекламной платформы. Таргетологу может требоваться управление кампаниями, бухгалтеру — информация о платежах и документах, а руководителю — полный административный доступ. Нет необходимости предоставлять одинаковые полномочия всем участникам команды.
Такой подход удобен и с организационной точки зрения. При кадровых изменениях достаточно удалить конкретного пользователя, не меняя пароли всей компании. Кроме того, проще разобраться, кто выполнял определенные действия внутри аккаунта, если рекламная система сохраняет соответствующую историю.
Двухфакторная аутентификация должна стать обязательной
Даже сложный пароль может оказаться скомпрометирован. Пользователь способен случайно ввести его на поддельном сайте, сохранить в небезопасном месте или столкнуться с другой формой кражи учетных данных. Дополнительный фактор авторизации значительно усложняет использование одного только украденного пароля.
Для рабочих аккаунтов желательно установить единые требования безопасности. Не стоит оставлять решение об использовании дополнительной защиты исключительно на усмотрение сотрудников. Если рекламный кабинет содержит значительные бюджеты или клиентские данные, правила должны действовать для всех пользователей, имеющих к нему доступ.
- создавать отдельные учетные записи для каждого сотрудника;
- обязательно использовать двухфакторную аутентификацию;
- выдавать только действительно необходимые права;
- хранить пароли в предназначенном для этого менеджере;
- оперативно отключать доступ уволенных сотрудников и подрядчиков;
- регулярно проверять список пользователей рекламных аккаунтов.
Фишинг остается серьезной угрозой для маркетологов
Специалисты по рекламе постоянно работают с большим количеством писем и уведомлений. Они получают сообщения от рекламных платформ, клиентов, подрядчиков и различных сервисов. На этом фоне поддельное письмо о блокировке рекламного аккаунта или необходимости срочно подтвердить платежные данные может выглядеть достаточно убедительно.
Особенно эффективно злоумышленники используют чувство срочности. Пользователю сообщают, что реклама будет остановлена, аккаунт заблокирован или обнаружено нарушение правил, если немедленно не перейти по ссылке. Человек, отвечающий за крупную рекламную кампанию, вполне естественно стремится как можно быстрее решить проблему и может не обратить внимания на признаки поддельного сообщения.
Чем больше денег и рабочих процессов связано с рекламным кабинетом, тем опаснее принимать решения об авторизации только на основании срочного сообщения в почте или мессенджере.
Поэтому сотрудникам полезно выработать простой порядок действий. Если приходит неожиданное предупреждение, лучше самостоятельно открыть рекламную платформу привычным способом и проверить уведомления непосредственно внутри кабинета. Это занимает немного времени, но позволяет не переходить по сомнительным ссылкам.
Особое внимание требуется доступам подрядчиков
Рекламные кампании редко ведутся исключительно штатными сотрудниками одной компании. Бизнес может привлекать агентства, независимых специалистов, аналитиков и других подрядчиков. Со временем количество выданных доступов увеличивается, а часть из них остается активной даже после завершения сотрудничества.
Полезно периодически проводить ревизию пользователей. Если человек больше не работает с проектом, его права следует удалить. То же самое касается тестовых аккаунтов и временных доступов, которые создавались для решения конкретной задачи.
При работе агентства с клиентами желательно избегать передачи личных паролей. Современные рекламные системы обычно предусматривают инструменты для предоставления доступа другим пользователям или организациям. Такой механизм позволяет клиенту сохранять контроль над своим аккаунтом и при необходимости быстро изменять состав исполнителей.
Рабочие устройства тоже являются частью системы безопасности
Даже правильно настроенный рекламный кабинет остается уязвимым, если сотрудник входит в него с плохо защищенного компьютера. На рабочем устройстве необходимо своевременно устанавливать обновления операционной системы и программ, а также контролировать использование неизвестного программного обеспечения. Особое внимание требуется расширениям браузера, поскольку маркетологи нередко устанавливают множество инструментов для аналитики и работы с рекламой.
Чем больше сторонних программ получает доступ к браузеру и данным пользователя, тем сложнее контролировать общую безопасность. Поэтому набор используемых рабочих инструментов желательно стандартизировать. Сотрудникам стоит устанавливать только действительно необходимые приложения и расширения из доверенных источников.
Отдельный вопрос — личные и рабочие устройства. Если специалист постоянно входит в клиентские кабинеты с домашнего компьютера, которым пользуются другие члены семьи, контролировать безопасность становится сложнее. Для агентства с большим количеством клиентов разумнее устанавливать единые требования к устройствам, с которых разрешена работа.
Увольнение сотрудника должно автоматически означать пересмотр доступов
Проблемы возникают, когда кадровые и технические процессы существуют независимо друг от друга. Сотрудник увольняется, бухгалтерия и руководство получают соответствующую информацию, но доступ к рекламным кабинетам продолжает работать еще несколько недель. Чем больше сервисов использует компания, тем выше вероятность забыть один из них.
Поэтому полезен единый чек-лист отключения сотрудника. В него включают рекламные платформы, системы аналитики, корпоративную почту, CRM, облачные хранилища и другие сервисы. Если человек работал с несколькими клиентами агентства, необходимо проверить каждый соответствующий проект.
Аналогичное правило действует для временных специалистов. Доступ, предоставленный на неделю для аудита рекламных кампаний, не должен автоматически оставаться активным годами. При выдаче временных прав желательно сразу определить, когда они должны быть пересмотрены.
Нужно заранее знать, что делать при подозрении на взлом
Даже качественная защита не позволяет полностью исключить инциденты, поэтому компании необходим понятный порядок действий. Сотрудники должны знать, кому сообщить о подозрительной активности и что делать, если они неожиданно потеряли доступ к рекламному кабинету. Чем быстрее начинается реакция, тем выше вероятность ограничить последствия.
Признаками проблемы могут стать неизвестные рекламные кампании, изменение платежных настроек, появление новых пользователей или уведомления о входе с незнакомого устройства. Любое подобное событие лучше проверить, даже если впоследствии оно окажется обычным действием коллеги.
Также полезно заранее определить, где хранится информация для восстановления доступа и кто имеет административные полномочия. Если единственный администратор находится в отпуске и недоступен, небольшой технический инцидент способен надолго остановить работу всей команды.
Безопасность должна быть постоянным процессом
Защитить рекламные кабинеты один раз и больше никогда к этому вопросу не возвращаться невозможно. В компании появляются новые сотрудники, меняются подрядчики, подключаются дополнительные сервисы и создаются новые рекламные аккаунты. Поэтому права пользователей и правила безопасности необходимо периодически пересматривать.
Для небольшой команды достаточно простого регламента и регулярной проверки доступов. По мере роста агентства подход становится более системным: появляются корпоративные правила работы с учетными записями, требования к устройствам и инструменты защиты сетевой инфраструктуры. Главное — чтобы безопасность развивалась вместе с количеством клиентов, сотрудников и рекламных бюджетов.
В результате надежная защита рекламных кабинетов строится сразу на нескольких уровнях. Сложные пароли и двухфакторная аутентификация защищают учетные записи, разграничение прав уменьшает последствия компрометации одного пользователя, а контроль устройств и корпоративной сети снижает дополнительные риски. Если дополнить эти меры обучением сотрудников и понятным планом действий при инциденте, вероятность потерять доступ к важным рекламным аккаунтам становится значительно ниже.
