একটি VPN ছোট অলাভজনক প্রতিষ্ঠানের নিরাপত্তা পরিকল্পনা নয়

ছোট প্রতিষ্ঠান একটি টানেল কেনে এবং ভাবে তারা নিরাপদ হয়ে গেছে। আসলে যা ঘটে তা হলো, টানেল একটি যাত্রার একটি অংশ রক্ষা করে, অথচ দাতার স্প্রেডশিট লিংক আছে এমন যে কারও সঙ্গে ভাগ করা থাকে, ডোমেইন এমন একটি কার্ডে নবায়ন হয় যা কেউ হালনাগাদ করেনি, আর মামলার ফাইল পুনরুদ্ধার করতে পারেন একমাত্র সেই ব্যক্তি ছুটিতে আছেন। একটি VPN একটি উপকারী নিয়ন্ত্রণ। এটি কোনো পরিকল্পনা নয়, এবং হতে পারে না।

কেন যন্ত্রটি সবার শেষে আসে

একটি টানেল একটি ডিভাইস ও অন্যপ্রান্তের নেটওয়ার্কের মধ্যে ট্রাফিক রক্ষা করে। এটি বাস্তব ও নির্দিষ্ট সুরক্ষা, এবং এটি ভাগ করা ফোল্ডার কে খুলতে পারবে, সাইন-ইন পাতা সত্যিকারের ছিল কি না, বা গত মাসের তথ্য এখনও আছে কি না এসব বিষয়ে কিছুই বলে না।

ছোট প্রতিষ্ঠানে বেশিরভাগ ক্ষতি ওই অন্য দরজাগুলো দিয়েই আসে। অ্যাকাউন্ট দখল, অতিরিক্ত ভাগ করা নথি এবং পুনরুদ্ধার-অসম্ভব ল্যাপটপ এই তিনটি ব্যর্থতা যা একটি কার্যকর VPN স্পর্শ করে না। এর কোনোটির জন্যই কাউকে টানেল ভাঙতে হয় না।

যন্ত্রটি দিয়ে শুরু করা বাজেট-আলোচনাকেও উল্টে দেয়। শেষ পর্যন্ত আপনি এমন কিছুর জন্য অর্থ দেন যা আপনি নাম না দেওয়া একটি সমস্যা সমাধান করে, আর অনাকর্ষণীয় ফাঁকগুলো খোলা থাকে কারণ কেউ সেগুলো লিখে রাখেনি।

তিনটি বাস্তব কর্মপ্রবাহ দিয়ে শুরু করুন

হুমকির তালিকা নয়, প্রতিষ্ঠান আসলে যে কাজ করে সেটিই বেছে নিন। তিনটি কর্মপ্রবাহই যথেষ্ট; দশটি এমন একটি নথি তৈরি করে যা কেউ শেষ করে না। দাতার তালিকা, সংবেদনশীল মামলা-নথির একটি সেট এবং একটি প্রকাশ্য ওয়েবসাইট এই তিনটি আলাদা সমস্যা, তিনটি আলাদা ব্যর্থতার ধরন।

প্রতিটির জন্য লিখুন কী মূল্যবান, কে বৈধভাবে প্রবেশাধিকার চায়, কে এর অপব্যবহার করতে পারে, এবং এটি প্রকাশিত, পরিবর্তিত বা কেবল হারিয়ে গেলে পরিণতি কী হবে। শেষ প্রশ্নটিই দলগুলো এড়িয়ে যায় এবং সবচেয়ে উপকারী পদক্ষেপ তৈরি করে।

কেবল প্রতিষ্ঠানের যন্ত্রপাতি নয়, যাদের তথ্য ওই নথিতে আছে তাদেরও অন্তর্ভুক্ত করুন। দাতার তালিকা হলো অন্য মানুষের বিবরণের তালিকা, এবং এই কাঠামো বদলে দেয় কতটা যত্ন সমানুপাতিক। দাতাদের তালিকা হলো অন্য মানুষের বিবরণের তালিকা, এবং এই কাঠামো বদলে দেয় কতটা যত্ন সমানুপাতিক।

EFF-এর পরিকল্পনা নির্দেশিকা এটি সাজায় সম্পদ, প্রতিপক্ষ, সম্ভাবনা, পরিণতি, শ্রম ও মিত্রদের চারপাশে। একটি ছোট দলের জন্য এটিকে ব্যবহারযোগ্য করে তোলে এই যে, এটি সবকিছু নিরাপদ থাকবে বলে প্রতিশ্রুতি দেওয়ার বদলে সীমিত মনোযোগ কোথায় যাবে তা বেছে নিতে বলে।

অ্যাকাউন্ট ও পুনরুদ্ধারের পথ

কে ইমেইল, ক্লাউড স্টোরেজ, ডোমেইন নিবন্ধন ও প্রশাসনিক প্রবেশাধিকার নিয়ন্ত্রণ করে তা চিহ্নিত করুন। তারপর দেখুন এগুলো আলাদা অনুমোদিত অ্যাকাউন্ট কি না, নাকি তিনজনের জানা একটি ভাগ করা লগইন। ভাগ করা লগইন প্রতিটি প্রস্থানকে এমন পাসওয়ার্ড রিসেটে পরিণত করে যা কেউ নিরীক্ষা করতে পারে না।

গুরুত্বপূর্ণ অ্যাকাউন্টগুলোর জন্য সমর্থিত বহু-উপাদান প্রমাণীকরণ চালু করুন, এবং কোনো কর্মী বা স্বেচ্ছাসেবক চলে গেলে কী হবে তা লিখুন। প্রতিস্থাপন ডিভাইস কীভাবে নথিভুক্ত হয় তাও অন্তর্ভুক্ত করুন, কারণ ওই ধাপটিই পরবর্তী ভাগ করা পাসওয়ার্ড তৈরি করে। যে প্রবেশাধিকার কেবল দেওয়া হয়, তা নিঃশব্দে জমা হতে থাকে।

সবকিছু এখনও কাজ করার সময়েই পুনরুদ্ধারের পরিকল্পনা করুন। কোন তথ্যের স্বাধীন কপি আছে, কে তা পুনরুদ্ধার করতে পারে, এবং দলের স্বাভাবিক ইমেইল বা ব্যক্তিগত নেটওয়ার্ক অনুপলব্ধ হলে তারা কীভাবে সহায়তা পায় তা জানুন। ব্যাকআপ চালু আছে দাবি করা একটি চেকবক্স কিছুই প্রমাণ করে না। কেউ সত্যিই সম্পন্ন করা একটি পুনরুদ্ধার অনেক কিছু প্রমাণ করে।

সংকটপূর্ণ অ্যাকাউন্টের জন্য দ্বিতীয় মালিকের নাম দিন। একজন স্বেচ্ছাসেবকের ব্যক্তিগত মেইলবক্স প্রতিষ্ঠানের নিজের ওয়েবসাইটে ফেরার একমাত্র পথ হওয়া উচিত নয়, এবং ওই এক বাক্য খুব খারাপ সপ্তাহের একটি শ্রেণিই প্রতিরোধ করে।

VPN-কে একটি নির্দিষ্ট কাজ দিন

কর্মীদের ব্যক্তিগত অফিস সেবায় পৌঁছাতে হলে, সমর্থিত টানেল তা দেওয়ার যুক্তিসঙ্গত উপায়। প্রবেশাধিকার তালিকাটি যাদের প্রয়োজন সেই মানুষ, ডিভাইস ও সেবার মধ্যে সীমিত রাখুন, এবং সেবার নিজস্ব প্রমাণীকরণ যেখানে আছে সেখানেই থাকতে দিন।

দল যদি সম্পূর্ণভাবে সঠিকভাবে কনফিগার করা ক্লাউড অ্যাপ্লিকেশন দিয়ে কাজ করে, তবে নতুন টানেল কেনার আগে সেটি আসলে কী বদলাবে তা স্থির করুন। অনেক ছোট প্রতিষ্ঠানে সৎ উত্তর হলো পরিমাপযোগ্য কিছুই নয়, এবং অ্যাকাউন্ট পরিচ্ছন্নতা ও পরীক্ষিত পুনরুদ্ধারে একই অর্থ বেশি কাজ করত।

নামহীনতার যন্ত্রপাতি ভিন্ন দিকে একই গল্প। এটি নির্দিষ্ট পর্যবেক্ষক সম্পর্কের কথা বলে, প্রতিষ্ঠানের প্রতিটি ঝুঁকির নয়, এবং সংবেদনশীল সুবিধাভোগীর তথ্য সতর্কভাবে পরিচালনার বিকল্প নয়।

যেখানে কাজে লক্ষ্যভিত্তিক হুমকি বা অস্বাভাবিক সংবেদনশীল তথ্য জড়িত, সেখানে ওই প্রসঙ্গের জন্য যোগ্য সহায়তা আনুন। সহযোগী প্রতিষ্ঠানের সাধারণ সুপারিশ কোনো হুমকি মূল্যায়ন নয়।

এক পাতার পরিকল্পনায় কী থাকে

কেউ না পড়া নথির বদলে একটি ছোট তালিকা দিয়ে শেষ করুন: সবচেয়ে গুরুতর অমীমাংসিত ঝুঁকি, প্রতিটির জন্য বেছে নেওয়া পদক্ষেপ, একজন মালিক এবং পরবর্তী পর্যালোচনার তারিখ।

এক পাতা যথেষ্ট, কারণ এটি সংশোধনের জন্যই বানানো। নতুন সেবা এলেই, স্বেচ্ছাসেবক যোগ দিলে বা চলে গেলে, এবং তথ্য ভাগাভাগির সম্পর্ক বদলালে এটিতে ফিরে আসুন।

এটিই এমন একটি নিরাপত্তা কর্মসূচি যা একটি ছোট দল সত্যিই বজায় রাখতে পারে, এবং VPN সেখানে কেউ লিখে রাখা একটি সমস্যা সমাধান করে নিজের জায়গা অর্জন করে।