شبكة VPN ليست خطة أمنية لمنظمة غير ربحية صغيرة

تشتري المنظمات الصغيرة نفقًا وتفترض أنها صارت آمنة. ما يحدث فعلاً هو أن النفق يحمي جزءًا واحدًا من رحلة واحدة، بينما يبقى جدول المتبرعين مشتركًا مع أي شخص لديه الرابط، ويتجدّد النطاق على بطاقة لم يحدّثها أحد، والشخص الوحيد القادر على استعادة ملفات القضايا في استراحة. شبكة VPN ضابط مفيد. لكنها ليست خطة، ولا يمكن أن تكون كذلك.

لماذا تأتي الأداة أخيرًا

النفق يحمي حركة المرور بين جهاز والشبكة على الطرف الآخر. هذه حماية حقيقية ومحددة، وهي لا تقول شيئًا عن من يجوز له فتح مجلد مشترك، ولا عمّا إذا كانت صفحة تسجيل الدخول أصلية، ولا عمّا إذا كانت بيانات الشهر الماضي ما زالت موجودة.

معظم الخسائر في المنظمات الصغيرة تصل عبر تلك الأبواب الأخرى. اختطاف حساب، ومستند أُفرط في مشاركته، وحاسوب محمول لا يمكن استعادته، ثلاثة إخفاقات لا تمسّها شبكة VPN عاملة. ولا يحتاج أي منها إلى أن يكسر أحدهم النفق.

البدء بالأداة يقلب أيضًا محادثة الميزانية. ينتهي بك الأمر إلى الدفع مقابل شيء يحل مشكلة لم تسمّها، بينما تبقى الثغرات غير اللامعة مفتوحة لأن أحدًا لم يكتبها.

ابدأ بثلاثة مسارات عمل حقيقية

اختر العمل الذي تقوم به المنظمة فعلاً بدلًا من كتالوج للتهديدات. ثلاثة مسارات عمل تكفي؛ وعشرة تُنتج مستندًا لا ينهيه أحد. قائمة المتبرعين ومجموعة من مستندات القضايا الحساسة وموقع عام على الويب ثلاث مشكلات مختلفة بثلاثة أنماط فشل مختلفة.

لكل منها، اكتب ما هو ثمين، ومن يحتاج الوصول إليه بشكل مشروع، ومن قد يسيء استخدامه، وما ستكون العاقبة لو أُفصح عنه أو عُدّل أو ضاع ببساطة. السؤال الأخير هو الذي تتخطاه الفرق، وهو الذي ينتج أكثر الإجراءات فائدة.

أدرج الأشخاص الذين تظهر معلوماتهم في تلك السجلات، وليس معدات المنظمة فقط. قائمة المتبرعين هي قائمة بتفاصيل أشخاص آخرين، وهذا التأطير يغيّر مقدار العناية المناسب. قائمة المتبرعين هي قائمة بتفاصيل أشخاص آخرين، وهذا التأطير يغيّر مقدار العناية المناسب.

ينظّم دليل التخطيط الصادر عن EFF هذا حول الأصول والخصوم والاحتمال والعواقب والجهد والحلفاء. وما يجعله قابلًا للاستخدام لفريق صغير أنه يطلب منك اختيار أين تذهب العناية المحدودة بدلًا من أن يَعِد بأن كل شيء سيكون آمنًا.

الحسابات ومسار الاستعادة

حدّد من يتحكم في البريد الإلكتروني والتخزين السحابي وتسجيل النطاق والوصول الإداري. ثم تحقق مما إذا كانت هذه حسابات منفصلة مخوّلة أم تسجيل دخول مشتركًا يعرفه ثلاثة أشخاص. تسجيلات الدخول المشتركة تحوّل كل مغادرة إلى إعادة تعيين كلمة مرور لا يستطيع أحد تدقيقها.

فعّل المصادقة متعددة العوامل المدعومة للحسابات المهمة، واكتب ما يحدث عندما يغادر موظف أو متطوع. أدرج كيف يُسجَّل جهاز بديل، لأن تلك هي الخطوة التي تُنشئ كلمة المرور المشتركة التالية. الوصول الذي لا يُمنح إلا هو وصول يتراكم بهدوء.

خطط للاستعادة بينما كل شيء يعمل. اعرف أي معلومات لديها نسخة مستقلة، ومن يمكنه استعادتها، وكيف يصل الفريق إلى الدعم عندما يكون بريده المعتاد أو شبكته الخاصة غير متاح. مربع اختيار يدّعي أن النسخ الاحتياطية مفعّلة لا يثبت شيئًا. أما استعادة نفّذها شخص فعلاً فتثبت الكثير.

سمِّ مالكًا ثانيًا للحسابات الحرجة. يجب ألا يكون صندوق بريد متطوع شخصي هو الطريق الوحيد للعودة إلى موقع المنظمة نفسه، وتلك الجملة الواحدة تمنع فئة كاملة من أسابيع سيئة جدًا.

أعطِ الـ VPN مهمة واحدة محددة

إذا كان الموظفون بحاجة إلى الوصول إلى خدمة مكتبية خاصة، فإن نفقًا مدعومًا طريقة معقولة لتوفير ذلك. أبقِ قائمة الوصول مقصورة على الأشخاص والأجهزة والخدمات التي تحتاجها، واترك مصادقة الخدمة نفسها في مكانها.

إذا كان الفريق يعمل بالكامل عبر تطبيقات سحابية مهيأة جيدًا، فحدّد ما الذي سيغيّره نفق جديد فعلاً قبل شرائه. في كثير من المنظمات الصغيرة تكون الإجابة الصادقة لا شيء قابلًا للقياس، والمال نفسه المنفق على نظافة الحسابات واستعادة مُختبَرة سيفعل أكثر.

أدوات إخفاء الهوية هي القصة نفسها في اتجاه آخر. إنها تعالج علاقات مراقبة معينة لا كل خطر تنظيمي، وليست بديلًا عن التعامل الحذر مع بيانات المستفيدين الحساسة.

حين يتضمن العمل تهديدات مستهدفة أو معلومات حساسة على نحو غير معتاد، استعن بمساعدة مؤهلة لذلك السياق. التوصية العامة من منظمة نظيرة ليست تقييمًا للتهديدات.

ما الذي تحتويه الخطة من صفحة واحدة

اختم بقائمة قصيرة بدلًا من مستند لا يقرأه أحد: أخطر المخاطر غير المحلولة، والإجراء المختار لكل منها، ومالك، وتاريخ المراجعة التالي.

صفحة واحدة تكفي لأنها مقصودة أن تُراجع. عُد إليها عندما تظهر خدمة جديدة، وعندما ينضم متطوع أو يغادر، وعندما تتغير علاقة لتبادل البيانات.

هذا برنامج أمني يستطيع فريق صغير أن يصونه فعلاً، وتستحق الشبكة مكانها داخله بحل مشكلة كتبها أحدهم.