VPN не е план за сигурност за малка неправителствена организация

Малките организации купуват тунел и приемат, че вече са защитени. Всъщност тунелът защитава един участък от едно пътуване, докато таблицата с дарители остава споделена с всеки, който има връзката, домейнът се подновява с карта, която никой не е обновил, а единственият човек, който може да възстанови делата, е в почивка. VPN е полезна мярка. Това не е план и не може да бъде.

Защо инструментът идва последен

Тунелът защитава трафика между устройство и мрежата от другата страна. Това е реална и конкретна защита и тя не казва нищо за това кой може да отвори споделена папка, дали страницата за вход е била истинска или дали данните от миналия месец още съществуват.

Повечето загуби в малките организации идват през тези други врати. Отвличане на профил, прекалено споделен документ и невъзстановим лаптоп са три провала, които работещ VPN не засяга. Нито един от тях не изисква някой да разбие тунела.

Започването с инструмента обръща и разговора за бюджета. Накрая плащате за нещо, което решава проблем, който не сте назовали, а неатрактивните пропуски остават отворени, защото никой не ги е записал.

Започнете с три реални работни процеса

Изберете работата, която организацията всъщност върши, а не каталог от заплахи. Три работни процеса са достатъчни; десет дават документ, който никой не довършва. Списък с дарители, набор от чувствителни документи по дела и публичен уебсайт са три различни проблема с три различни начина на провал.

За всеки от тях запишете какво е ценно, кой законно се нуждае от достъп, кой би могъл да го злоупотреби и каква би била последицата, ако бъде разкрито, променено или просто изчезне. Последният въпрос е този, който екипите пропускат, и този, който поражда най-полезните действия.

Включете хората, чиято информация се появява в тези записи, не само оборудването на организацията. Списъкът с дарители е списък с данните на други хора и тази рамка променя колко грижа е пропорционална. Списък с дарители е списък с данните на други хора и тази рамка променя колко грижа е пропорционална.

Ръководството за планиране на EFF структурира това около активи, противници, вероятност, последици, усилия и съюзници. Прави го използваемо за малък екип това, че ви кара да изберете къде да отиде ограниченото внимание, вместо да обещава, че всичко ще бъде на сигурно.

Профили и пътят за възстановяване

Установете кой контролира имейла, облачното хранилище, регистрацията на домейна и административния достъп. После проверете дали това са отделни упълномощени профили или един споделен вход, който трима души знаят. Споделените входове превръщат всяко напускане в нулиране на парола, което никой не може да одитира.

Включете поддържано многофакторно удостоверяване за профилите, които имат значение, и запишете какво се случва, когато служител или доброволец напусне. Включете как се регистрира заместващо устройство, защото именно тази стъпка създава следващата споделена парола. Достъп, който само се предоставя, е достъп, който тихо се натрупва.

Планирайте възстановяването, докато всичко още работи. Знайте коя информация има независимо копие, кой може да я възстанови и как екипът достига до поддръжка, когато обичайният имейл или частната мрежа са недостъпни. Отметка, която твърди, че резервните копия са включени, не доказва нищо. Възстановяване, което някой действително е извършил, доказва доста.

Посочете втори отговорник за критичните профили. Личната поща на доброволец не бива да е единственият път обратно към собствения уебсайт на организацията и това едно изречение предотвратява цяла категория много лоши седмици.

Дайте на VPN една конкретна задача

Ако служителите трябва да достигат до частна офис услуга, поддържан тунел е разумен начин да се осигури това. Дръжте списъка за достъп до хората, устройствата и услугите, които се нуждаят от него, и оставете собственото удостоверяване на услугата там, където е.

Ако екипът работи изцяло през добре конфигурирани облачни приложения, установете какво нов тунел действително би променил, преди да купите такъв. В много малки организации честният отговор е нищо измеримо и същите пари, похарчени за хигиена на профилите и тествано възстановяване, биха направили повече.

Инструментите за анонимност са същата история в друга посока. Те адресират определени отношения с наблюдатели, а не всеки организационен риск, и не заместват внимателното боравене с чувствителни данни на бенефициенти.

Когато работата включва целенасочени заплахи или необичайно чувствителна информация, привлечете квалифицирана помощ за този контекст. Обща препоръка от партньорска организация не е оценка на заплахите.

Какво съдържа планът от една страница

Завършете с кратък списък, а не с документ, който никой не чете: най-значимите нерешени рискове, избраното действие за всеки, отговорник и датата на следващия преглед.

Една страница е достатъчна, защото е предназначена да бъде преработвана. Връщайте се към нея, когато се появи нова услуга, когато доброволец се присъедини или напусне и когато отношенията за споделяне на данни се променят.

Това е програма за сигурност, която малък екип действително може да поддържа, а VPN-ът печели мястото си в нея, като решава проблем, който някой е записал.