VPN — гэта не план бяспекі для невялікай некамерцыйнай арганізацыі

Невялікія арганізацыі купляюць тунель і лічаць, што цяпер яны ў бяспецы. Насамрэч тунель абараняе адзін адрэзак адной паездкі, а табліца донараў застаецца агульнай для ўсіх, хто мае спасылку, дамен працягваецца на карце, якую ніхто не абнавіў, і адзіны чалавек, які можа аднавіць файлы спраў, знаходзіцца на перапынку. VPN — карысная мера. Гэта не план, і ім ён быць не можа.

Чаму інструмент ідзе апошнім

Тунель абараняе трафік паміж прыладай і сеткай на другім канцы. Гэта рэальная і канкрэтная абарона, і яна нічога не кажа пра тое, хто можа адкрыць агульную папку, ці была старонка ўваходу сапраўднай і ці захаваліся дадзеныя мінулага месяца.

Большасць страт у невялікіх арганізацыях прыходзіць праз гэтыя іншыя дзверы. Захоп уліковага запісу, занадта агульны дакумент і неаднаўляльны ноўтбук — тры збоі, якіх працоўны VPN не тычыцца. Ні адзін з іх не патрабуе, каб хтосьці ўзламаў тунель.

Пачатак з інструмента таксама перавяртае размову пра бюджэт. У выніку вы плаціце за тое, што вырашае праблему, якую вы не назвалі, а непрыкметныя прабелы застаюцца адкрытымі, бо ніхто іх не запісаў.

Пачніце з трох рэальных працоўных працэсаў

Выбірайце працу, якую арганізацыя фактычна робіць, а не каталог пагроз. Трох працоўных працэсаў дастаткова; дзесяць даюць дакумент, які ніхто не дапісвае да канца. Спіс донараў, набор адчувальных дакументаў справы і публічны вэб-сайт — гэта тры розныя праблемы з трыма рознымі сцэнарамі збою.

Для кожнага запішыце, што каштоўнае, хто законна мае патрэбу ў доступе, хто можа злоўжыць ім і якія будуць наступствы, калі гэта будзе раскрыта, зменена або проста знікне. Апошняе пытанне — тое, якое каманды прапускаюць, і тое, якое дае найбольш карысныя дзеянні.

Уключыце людзей, чыя інфармацыя змешчана ў гэтых запісах, а не толькі абсталяванне арганізацыі. Спіс донараў — гэта спіс звестак іншых людзей, і такая пастаноўка змяняе меру неабходнай асцярожнасці. Спіс донараў — гэта спіс звестак іншых людзей, і такая пастаноўка змяняе меру неабходнай асцярожнасці.

Планавы дапаможнік EFF будуе гэта вакол актываў, супернікаў, імавернасці, наступстваў, высілкаў і саюзнікаў. Карысным для невялікай каманды яго робіць тое, што ён прапануе выбраць, куды накіраваць абмежаваную ўвагу, замест таго каб абяцаць, што ўсё будзе ў бяспецы.

Уліковыя запісы і шлях аднаўлення

Вызначце, хто кантралюе пошту, воблачнае сховішча, рэгістрацыю дамена і адміністрацыйны доступ. Затым праверце, ці гэта асобныя ўпаўнаважаныя ўліковыя запісы ці адзін агульны лагін, які ведаюць тры чалавекі. Агульныя лагіны робяць кожны сыход скідам пароля, які ніхто не можа прааўдытаваць.

Уключыце падтрыманую шматафактарную аўтэнтыфікацыю для важных уліковых запісаў і запішыце, што адбываецца, калі супрацоўнік або валанцёр сыходзіць. Уключыце, як рэгіструецца замяняльная прылада, бо менавіта гэты крок стварае наступны агульны пароль. Доступ, які толькі выдаецца, — гэта доступ, які ціха назапашваецца.

Плануйце аднаўленне, пакуль усё яшчэ працуе. Ведайце, якая інфармацыя мае незалежную копію, хто можа яе аднавіць і як каманда звяртаецца па падтрымку, калі звычайная пошта або прыватная сетка недаступныя. Галочка, якая сцвярджае, што рэзервовыя копіі ўключаны, нічога не даказвае. Аднаўленне, якое хтосьці сапраўды выканаў, даказвае нямала.

Прызначце другога ўладальніка для крытычных уліковых запісаў. Асабістая пошта валанцёра не павінна быць адзіным шляхам назад на ўласны вэб-сайт арганізацыі, і гэтае адно сказ прадухіляе цэлую катэгорыю вельмі дрэнных тыдняў.

Дайце VPN адну канкрэтную задачу

Калі супрацоўнікам трэба дабрацца да прыватнага офіснага сэрвісу, падтрыманы тунель — разумны спосаб гэта забяспечыць. Трымайце спіс доступу ў межах людзей, прылад і сэрвісаў, якім ён патрэбны, і пакіньце ўласную аўтэнтыфікацыю сэрвісу там, дзе яна ёсць.

Калі каманда цалкам працуе праз добра наладжаныя воблачныя праграмы, вызначце, што новы тунель сапраўды зменіць, перш чым купляць яго. У многіх невялікіх арганізацыях сумленны адказ — нічога вымернага, і тыя ж грошы, выдаткаваныя на гігіену ўліковых запісаў і пратэставанае аднаўленне, зрабілі б больш.

Інструменты ананімнасці — тая ж гісторыя ў іншым кірунку. Яны закранаюць пэўныя адносіны з назіральнікамі, а не ўсю арганізацыйную рызыку, і не замяняюць асцярожнага абыходжання з адчувальнымі дадзенымі бенефіцыяраў.

Калі праца ўключае мэтанакіраваныя пагрозы або незвычайна адчувальную інфармацыю, прыцягніце кваліфікаваную дапамогу для гэтага кантэксту. Агульная рэкамендацыя ад арганізацыі-калегі не з'яўляецца ацэнкай пагроз.

Што змяшчае аднастаронкавы план

Скончыце кароткім спісам, а не дакументам, які ніхто не чытае: найбольш значныя нявырашаныя рызыкі, выбранае дзеянне для кожнай, уладальнік і дата наступнага перагляду.

Аднаго аркуша дастаткова, бо ён прызначаны для перагляду. Вяртайцеся да яго, калі з'яўляецца новы сэрвіс, калі валанцёр прыходзіць або сыходзіць і калі змяняюцца адносіны абмену дадзенымі.

Гэта праграма бяспекі, якую невялікая каманда сапраўды здольная падтрымліваць, і VPN заслугоўвае сваё месца ў ёй, вырашаючы праблему, якую хтосьці запісаў.