'n VPN is nie 'n veiligheidsplan vir 'n klein niewinsorganisasie nie

Klein organisasies koop 'n tonnel en aanvaar dat hulle nou veilig is. Wat werklik gebeur, is dat die tonnel een been van een reis beskerm terwyl die sigblad met skenkerinligting gedeel bly met enigiemand wat die skakel het, die domein hernu word op 'n kaart wat niemand bygewerk het nie, en die enigste persoon wat die saaklêers kan herstel, op 'n pouse is. 'n VPN is 'n nuttige beheer. Dit is nie 'n plan nie, en dit kan nie een wees nie.

Waarom die gereedskap laaste kom

'n Tonnel beskerm verkeer tussen 'n toestel en die netwerk aan die ander kant. Dit is 'n werklike en spesifieke beskerming, en dit sê niks oor wie 'n gedeelde gids mag oopmaak, of 'n aanmeldbladsy eg was, of verlede maand se data nog bestaan nie.

Die meeste verliese by klein organisasies kom deur daardie ander deure. 'n Rekeningoorname, 'n oorgedeelde dokument en 'n onherstelbare skootrekenaar is drie mislukkings wat 'n werkende VPN nie raak nie. Nie een daarvan vereis dat iemand die tonnel breek nie.

Om met die gereedskap te begin, keer ook die begrotinggesprek om. Jy betaal uiteindelik vir iets wat 'n probleem oplos wat jy nie benoem het nie, terwyl die onopvallende gapings oop bly omdat niemand dit neergeskryf het nie.

Begin met drie werklike werkvloeie

Kies die werk wat die organisasie werklik doen eerder as 'n bedreigingskatalogus. Drie werkvloeie is genoeg; tien lewer 'n dokument wat niemand klaarmaak nie. 'n Skenkerlys, 'n stel sensitiewe saakdokumente en 'n openbare webwerf is drie verskillende probleme met drie verskillende mislukkingsmodusse.

Vir elkeen, skryf neer wat waardevol is, wie wettiglik toegang nodig het, wie dit kan misbruik, en wat die gevolg sou wees as dit bekend gemaak, verander of bloot weg sou wees. Die laaste vraag is die een wat spanne oorslaan en die een wat die nuttigste aksies oplewer.

Sluit die mense in wie se inligting in daardie rekords voorkom, nie net die organisasie se toerusting nie. 'n Skenkerlys is 'n lys van ander mense se besonderhede, en daardie raamwerk verander hoeveel sorg gepas is. 'n Lys skenkers is 'n lys van ander mense se besonderhede, en daardie raamwerk verander hoeveel sorg gepas is.

EFF se beplanningsgids struktureer dit rondom bates, teëstanders, waarskynlikheid, gevolge, inspanning en bondgenote. Wat dit bruikbaar maak vir 'n klein span, is dat dit jou vra om te kies waar beperkte aandag gaan, eerder as om te belowe dat alles veilig sal wees.

Rekeninge en die herstelpad

Identifiseer wie e-pos, wolkberging, die domeinregistrasie en administratiewe toegang beheer. Kyk dan of dit afsonderlike gemagtigde rekeninge is of een gedeelde aanmelding wat drie mense ken. Gedeelde aanmeldings maak elke vertrek 'n wagwoordherstel wat niemand kan audit nie.

Skakel ondersteunde multifaktor-verifikasie aan vir die rekeninge wat saak maak, en skryf neer wat gebeur wanneer 'n personeellid of vrywilliger vertrek. Sluit in hoe 'n vervangingstoestel ingeskryf word, want dit is die stap wat die volgende gedeelde wagwoord skep. Toegang wat net ooit toegestaan word, is toegang wat stilweg ophoop.

Beplan herstel terwyl alles nog werk. Weet watter inligting 'n onafhanklike kopie het, wie dit kan herstel, en hoe die span ondersteuning bereik wanneer sy normale e-pos of privaat netwerk onbeskikbaar is. 'n Merkblokkie wat beweer dat rugsteune geaktiveer is, bewys niks. 'n Herstel wat iemand werklik gedoen het, bewys nogal baie.

Noem 'n tweede eienaar vir kritieke rekeninge. 'n Vrywilliger se persoonlike posbus moet nie die enigste weg terug na die organisasie se eie webwerf wees nie, en daardie een sin voorkom 'n kategorie van baie slegte week.

Gee die VPN een spesifieke taak

As personeel 'n private kantoor diens moet bereik, is 'n ondersteunde tonnel 'n redelike manier om dit te lewer. Hou die toegangslys by die mense, toestelle en dienste wat dit nodig het, en laat die diens se eie verifikasie waar dit is.

As die span heeltemal deur goed gekonfigureerde wolktoepassings werk, stel vas wat 'n nuwe tonnel werklik sou verander voordat jy een koop. In baie klein organisasies is die eerlike antwoord niks meetbaar nie, en dieselfde geld aan rekeninghigiëne en 'n getoetste herstel bestee sou meer doen.

Anonimiteitgereedskap is dieselfde verhaal in 'n ander rigting. Dit spreek bepaalde waarnemer-verhoudings aan, nie elke organisatoriese risiko nie, en dit is nie 'n plaasvervanger vir die sorgvuldige hantering van sensitiewe begunstigdedata nie.

Waar die werk gerigte bedreigings of buitengewoon sensitiewe inligting behels, bring gekwalifiseerde hulp vir daardie konteks in. 'n Algemene aanbeveling van 'n eweknie-organisasie is nie 'n bedreigingsbeoordeling nie.

Wat die eenbladsyplan bevat

Eindig met 'n kort lys eerder as 'n dokument wat niemand lees nie: die mees gevolglike onopgeloste risiko's, die aksie wat vir elkeen gekies is, 'n eienaar, en die volgende hersieningsdatum.

Een bladsy is genoeg omdat dit bedoel is om hersien te word. Herbesoek dit wanneer 'n nuwe diens verskyn, wanneer 'n vrywilliger aansluit of vertrek, en wanneer 'n datadeling-verhouding verander.

Dit is 'n veiligheidsprogram wat 'n klein span werklik kan volhou, en die VPN verdien sy plek daarin deur 'n probleem op te los wat iemand neergeskryf het.