1. Two-step login on email, then everything else. Σύνδεση σε δύο βήματα στο email, και μετά παντού.

   Email first, because whoever controls a mailbox can reset every other password. Use an authenticator app rather than SMS, such as Google Authenticator or 1Password. Then banking, the main business systems, supplier portals, and the account that manages the firm's web domain.

   Πρώτα το email, γιατί όποιος ελέγχει ένα γραμματοκιβώτιο μπορεί να αλλάξει κάθε άλλο κωδικό. Χρησιμοποιήστε εφαρμογή επαλήθευσης αντί για SMS, όπως το Google Authenticator ή το 1Password. Μετά την τράπεζα, τα βασικά συστήματα της επιχείρησης, τις πύλες συνεργατών, και τον λογαριασμό που διαχειρίζεται το domain της επιχείρησης.

2. Confirm every payment change by phone. Επιβεβαιώνετε τηλεφωνικά κάθε αλλαγή πληρωμής.

   Any email asking to pay a new account, or to change bank details, is checked by calling a number you already have, never one given in the email. It works the other way too: tell your clients you never change your bank details by email. Fake invoices and changed bank details are where small firms actually lose money.

   Κάθε email που ζητά πληρωμή σε νέο λογαριασμό ή αλλαγή τραπεζικών στοιχείων ελέγχεται με τηλέφωνο σε αριθμό που ήδη έχετε, ποτέ σε αριθμό από το ίδιο το email. Ισχύει και αντίστροφα: πείτε στους πελάτες σας ότι δεν αλλάζετε ποτέ τα τραπεζικά σας στοιχεία με email. Τα ψεύτικα τιμολόγια και τα αλλαγμένα τραπεζικά στοιχεία είναι εκεί όπου οι μικρές επιχειρήσεις χάνουν πραγματικά χρήματα.

3. A password manager for the whole team. Διαχειριστής κωδικών για όλη την ομάδα.

   A different password for every account, and shared logins shared through the manager instead of a spreadsheet or a note. Bitwarden and 1Password both have business plans.

   Διαφορετικός κωδικός για κάθε λογαριασμό, και οι κοινόχρηστοι κωδικοί μοιράζονται μέσα από τον διαχειριστή, όχι σε υπολογιστικό φύλλο ή σε σημείωμα. Το Bitwarden και το 1Password έχουν και τα δύο επαγγελματικά πακέτα.

4. Updates switched on automatically. Αυτόματες ενημερώσεις.

   For Windows, Office and browsers. Replace or upgrade any computer whose system no longer gets security updates: Windows 10 stopped getting them in October 2025, unless extended updates are paid for.

   Για Windows, Office και browsers. Αντικαταστήστε ή αναβαθμίστε κάθε υπολογιστή που δεν παίρνει πια ενημερώσεις ασφαλείας: τα Windows 10 σταμάτησαν να τις παίρνουν τον Οκτώβριο του 2025, εκτός αν πληρώνονται εκτεταμένες ενημερώσεις.

5. Backups you have tested. Αντίγραφα ασφαλείας που έχετε δοκιμάσει.

   Shared drives such as Dropbox, OneDrive or Google Drive sync whatever happens to a file, so a file locked by ransomware on one computer is locked everywhere. Their version history can roll files back, and is the main protection. But it lives in the same account, so it does not help if someone with the admin login deletes files and their history, or if the account itself is lost. The same goes for email. So keep one independent copy of both files and email, offline or in storage that cannot be changed once written, and restore a file from it once to know it works.

   Οι κοινόχρηστοι φάκελοι, όπως Dropbox, OneDrive ή Google Drive, συγχρονίζουν ό,τι συμβαίνει σε ένα αρχείο, οπότε ένα αρχείο κλειδωμένο από ransomware σε έναν υπολογιστή κλειδώνεται παντού. Το ιστορικό εκδόσεών τους μπορεί να επαναφέρει τα αρχεία, και είναι η βασική προστασία. Όμως βρίσκεται στον ίδιο λογαριασμό, οπότε δεν βοηθά αν κάποιος με τον κωδικό διαχειριστή σβήσει αρχεία και ιστορικό, ή αν χαθεί ο ίδιος ο λογαριασμός. Το ίδιο ισχύει και για το email. Κρατήστε λοιπόν ένα ανεξάρτητο αντίγραφο και των αρχείων και του email, εκτός δικτύου ή σε αποθήκευση που δεν αλλάζει αφού γραφτεί, και επαναφέρετε ένα αρχείο μία φορά, για να ξέρετε ότι δουλεύει.

6. Nobody works as administrator day to day. Κανείς δεν δουλεύει καθημερινά ως διαχειριστής.

   Staff sign in to their computers with standard accounts, so malicious software they open cannot take over the whole computer. Administrator rights are for installing software and changing settings, and belong to one or two people. The same goes for the admin roles in email, shared drives and business systems: one or two named people, not everyone.

   Το προσωπικό συνδέεται στους υπολογιστές με απλούς λογαριασμούς, ώστε ένα κακόβουλο πρόγραμμα που θα ανοίξει κάποιος να μην μπορεί να πάρει τον έλεγχο όλου του υπολογιστή. Τα δικαιώματα διαχειριστή είναι για εγκαταστάσεις και αλλαγές ρυθμίσεων, και τα έχουν ένας ή δύο άνθρωποι. Το ίδιο ισχύει για τους ρόλους διαχειριστή στο email, στους κοινόχρηστους φακέλους και στα συστήματα της επιχείρησης: ένας ή δύο συγκεκριμένοι άνθρωποι, όχι όλοι.

7. Laptops and phones protected. Προστατευμένα laptop και κινητά.

   Disk encryption on every laptop (BitLocker on Windows, FileVault on a Mac), so a lost laptop is not a data breach. Microsoft Defender or an equivalent switched on. Every phone with client data on it, such as work email or client conversations, locked with a fingerprint, face or PIN.

   Κρυπτογράφηση δίσκου σε κάθε laptop (BitLocker στα Windows, FileVault σε Mac), ώστε ένα χαμένο laptop να μην είναι διαρροή δεδομένων. Ενεργό Microsoft Defender ή αντίστοιχο. Κάθε κινητό με δεδομένα πελατών, όπως email εργασίας ή συνομιλίες με πελάτες, κλειδωμένο με δακτυλικό αποτύπωμα, πρόσωπο ή PIN.

8. Protect the firm's email domain. Προστατέψτε το domain του email σας.

   Three records on the domain stop anyone sending email that looks like it comes from the firm: SPF lists who may send it, DKIM signs each message so receivers can tell it is genuine, and DMARC tells receivers what to do when the first two fail. Whoever runs the domain or the email can set them up in an hour.

   Τρεις εγγραφές στο domain εμποδίζουν οποιονδήποτε να στείλει email που μοιάζει να έρχεται από την επιχείρηση: το SPF ορίζει ποιοι μπορούν να το στέλνουν, το DKIM υπογράφει κάθε μήνυμα ώστε ο παραλήπτης να ξέρει ότι είναι γνήσιο, και το DMARC λέει στον παραλήπτη τι να κάνει όταν τα δύο πρώτα αποτύχουν. Όποιος διαχειρίζεται το domain ή το email μπορεί να τις ρυθμίσει μέσα σε μία ώρα.

9. Joiners and leavers. Όσοι έρχονται και όσοι φεύγουν.

   A short checklist for both. A leaver's access ends on their last day, and the passwords of any shared accounts they knew are changed.

   Μια σύντομη λίστα ελέγχου και για τους δύο. Η πρόσβαση όποιου φεύγει τελειώνει την τελευταία του μέρα, και αλλάζουν οι κωδικοί των κοινόχρηστων λογαριασμών που ήξερε.

10. A separate guest Wi-Fi. Ξεχωριστό Wi-Fi για επισκέπτες.

    Visitors use a guest Wi-Fi kept apart from the network the firm's computers are on, and the router's default password is changed.

    Οι επισκέπτες συνδέονται σε Wi-Fi επισκεπτών, χωριστά από το δίκτυο των υπολογιστών της επιχείρησης, και ο αρχικός κωδικός του router έχει αλλάξει.

11. A free phishing course for everyone, once a year. Ένα δωρεάν μάθημα για το phishing, για όλους, μία φορά τον χρόνο.

    Such as the UK National Cyber Security Centre's Top Tips for Staff (under 30 minutes) or Google's Phishing Quiz (eight sample emails, about 10 minutes). And a rule that reporting a suspicious email, or a click on one, is never blamed. Early reports are what stop an incident.

    Όπως το δωρεάν μάθημα «Κυβερνοασφάλεια» της Εθνικής Ακαδημίας Ψηφιακών Ικανοτήτων, ή, στα αγγλικά, το Top Tips for Staff του βρετανικού NCSC (κάτω από 30 λεπτά). Και ένας κανόνας: όποιος αναφέρει ένα ύποπτο email, ή ότι πάτησε σε ένα, δεν κατηγορείται ποτέ. Οι έγκαιρες αναφορές είναι αυτές που σταματούν ένα περιστατικό.

12. One page for when something goes wrong. Μία σελίδα για όταν κάτι πάει στραβά.

    Who to call, how to take a computer off the network, and the reminder that a breach of personal data usually has to be reported to the data protection authority within 72 hours (in the UK the ICO, in Greece the Hellenic Data Protection Authority).

    Ποιον καλείτε, πώς αποσυνδέετε έναν υπολογιστή από το δίκτυο, και την υπενθύμιση ότι μια παραβίαση προσωπικών δεδομένων συνήθως πρέπει να γνωστοποιηθεί στην Αρχή Προστασίας Δεδομένων Προσωπικού Χαρακτήρα μέσα σε 72 ώρες (στο Ηνωμένο Βασίλειο, στο ICO).

General good practice, not a security audit: we have not looked at your systems, and this list certifies nothing. If you would like help putting it in place, or want to know where your firm stands, get in touch.

Γενικές καλές πρακτικές, όχι έλεγχος ασφαλείας: δεν έχουμε δει τα συστήματά σας, και η λίστα αυτή δεν πιστοποιεί τίποτα. Αν θέλετε βοήθεια να την εφαρμόσετε, ή να δείτε πού βρίσκεται η επιχείρησή σας, επικοινωνήστε μαζί μας.