Trumpai: Jei jūsų draugijos svetainė nulaužta arba veikia su nepataisytu PHP, didelio biudžeto nereikia, bet reikia aiškios atsakomybės. Vienas valdybos narys pasiteirauja pas hostingo teikėją pataisų būsenos, apsaugo prieigas ir prireikus nusprendžia laikinai išjungti puslapį. Narių duomenys čia svarbesni už renginių kalendorių.
Kaip paprastai sukurtos draugijų svetainės
Dauguma draugijų ir sąjungų puslapių veikia ant WordPress arba Joomla, kuriuos įrengė įsitraukęs narys, dažnai prieš daugelį metų. Tipinės funkcijos: renginiai ir varžybų tvarkaraščiai, nuotraukų galerijos, narių sritis su protokolais, internetinės narystės paraiškos su SEPA tiesioginio debeto įgaliojimu, aukų formos ir registracijos į kursus, turnyrus ar išvykas.
Sąjungos papildomai eksploatuoja portalus narėms įmonėms ar vietos grupėms, komitetų sritis su konfidencialiais dokumentais ir seminarų rezervacijas. Beveik viskas tai remiasi PHP ir yra pigiame žiniatinklio hostinge.
Kokie narių duomenys yra serveryje
Internetinėse narystės paraiškose yra vardai, gimimo datos, adresai ir banko rekvizitai. Sporto klubuose daug narių yra nepilnamečiai, paraiškose tada nurodomi ir globėjai. Kai kurie duomenys priklauso specialioms kategorijoms pagal BDAR 9 straipsnį, pavyzdžiui, sveikatos duomenys reabilitaciniame ir neįgaliųjų sporte arba narystė profesinėse sąjungose ir religinėse bendruomenėse.
Dažnai serveryje papildomai guli pamiršti failai: narių sąrašai lentelėje kasininkui, eksportai draugijos žurnalo siuntimui, seni atsarginės kopijos. Būtent jie atakos metu nukopijuojami greitai.
Sąjungų atveju prisideda kiti duomenys: narių įmonių kontaktiniai asmenys ir rodikliai, nuomonių projektai, valdybos ir komitetų posėdžių protokolai. Kas ten konfidencialiai aptarta, nutekėjus gali susilpninti derybines pozicijas arba supriešinti narius. Sąjungoms narių sritis todėl dažnai jautresnė nei viešoji svetainė.
Draugija ir nulaužta svetainė: ką tai reiškia konkrečiai
- Banko duomenų piktnaudžiavimas: Su vardais ir IBAN galima paruošti suklastotus tiesioginio debeto nurašymus ar sukčių laiškus draugijos vardu.
- Reputacija bendruomenėje: Draugijos puslapis, nukreipiantis į abejotinus pasiūlymus, krenta į akis nariams, rėmėjams ir vietinei spaudai.
- Pranešimo pareiga: Ir draugijos yra duomenų valdytojos pagal BDAR. Nutekėjus duomenims gali reikėti per 72 valandas pranešti priežiūros institucijai. Didesnės draugijos tam turi duomenų apsaugos pareigūną, mažesnės kreipiasi į stogo organizaciją ar teisinę konsultaciją.
Tipinė spraga: savanorystė ir valdybos kaita
Draugijoje technines detales dažnai žino tik vienas asmuo. Jam išėjus ar pasikeitus valdybai, trūksta prieigos duomenų ir niekas nežino, kokia PHP versija veikia. CMS atnaujinimas PHP2Shell neuždaro. Už PHP įprastame žiniatinklio hostinge atsakingas hostingo teikėjas, bet paklausti turi draugija.
Valdyboje nustatykite, kas atsakingas už svetainę, ir saugokite prieigas prie domeno, hostingo ir administravimo srities taip, kad prie jų galėtų prieiti bent du asmenys. Administratorių paskyras apsaugokite dviejų veiksnių autentifikacija.
Pirmieji žingsniai valdybai
- Raštu paklausti hostingo teikėjo: ar PHP mūsų pakete atnaujintas iki 8.5.12, 8.4.27, 8.3.36 ar 8.2.35 arba pataisytas backport ir paleistas iš naujo?
- Be aiškaus atsakymo ar esant anomalijoms laikinai išjungti puslapį. Renginius tuo metu galima išsiųsti masiniu laišku.
- Paprašyti hostingo teikėjo išsaugoti žurnalus nuo 2026-10-20.
- Pašalinti iš serverio senus narių sąrašus, eksportus ir nenaudojamus įskiepius bei ištrinti perteklines administratorių paskyras.
- Esant duomenų nutekėjimo požymių, įtraukti duomenų apsaugos pareigūną ar stogo organizaciją.
Prasmingai prioritetizuoti su mažu biudžetu
Nė viena draugija neturi įgyvendinti visų saugumo priemonių iš karto. Prasminga seka pagal žalą: pirmiausia apsaugoti arba pašalinti viską, kas turi banko rekvizitus ir vaikų duomenis. Paskui puslapius su prisijungimu, t. y. narių sritį ir administratoriaus prieigą. Paskutiniai renginiai, ataskaitos ir galerijos, kurie ir taip viešai prieinami.
Dažnai pigiausias sprendimas yra funkcijas atiduoti, o ne eksploatuoti pačiam. Narystės paraiškas ir tiesioginio debeto įgaliojimus galima tvarkyti per draugijos valdymo sistemą, kurią eksploatuoja teikėjas, užuot naudojus savo sukurtą formą. Sąjungos su portalais narėms įmonėms turėtų patikrinti, ar ten nėra konfidencialių komitetų dokumentų, kuriuos geriau laikyti atskirai apsaugotoje sistemoje. Kuo mažiau duomenų draugijos svetainėje, tuo mažiau pastangų sukelia kita spraga.
Kaip konkrečiai padeda PHP SOS?
- Padedame valdybai susigrąžinti prieigas ir su hostingo teikėju išsiaiškiname pataisų būseną.
- Įtarimo atveju tikriname puslapį dėl kenkėjiško kodo ir nežinomų paskyrų ir išvalome per savo avarinę pagalbą.
- Tvarkome tikslingai: ko draugijai nereikia, pašalinama, užuot toliau apsaugojus.
- Duodame trumpą, suprantamą perdavimo dokumentą, kad ir kita valdyba žinotų, kas kur yra.
Dažni klausimai
Ar valdyba atsako, jei draugijos svetainė nulaužta?
Draugija atsako už savo narių duomenis, o valdyba atstovauja draugijai. Ar ir kiek asmeninė atsakomybė galima, priklauso nuo konkretaus atvejo ir įstatų. Tai klausimas teisinei konsultacijai arba stogo organizacijai.
Mūsų žiniatinklio tvarkytojas išėjo. Kaip gauti prieigas?
Hostingo teikėjo sutarties šalis paprastai yra draugija. Su atstovavimo teisės įrodymu, pavyzdžiui, registro išrašu, valdyba gali paprašyti hostingo teikėjo atstatyti prieigas. Po to prieigos duomenys turėtų būti vienoje vietoje, prie kurios turi prieigą bent du valdybos nariai.
Kas nieko nekainuoja ir padeda iš karto?
Raštu paklausti hostingo teikėjo apie PHP pataisų būseną, ištrinti nenaudojamas administratorių paskyras, pašalinti nebereikalingus įskiepius ir ištrinti senus narių eksportus iš serverio. Tai gerokai sumažina riziką, bet neatstoja patikros, jei jau yra nulaužimo požymių.