VPN nije sigurnosni plan za malu neprofitnu organizaciju

Male organizacije kupe tunel i pretpostave da su postale sigurne. Ono što se zapravo dogodi jest da tunel štiti jednu dionicu jednog putovanja, dok tabela donatora ostaje dijeljena sa svakim ko ima link, domena se obnavlja na kartici koju niko nije ažurirao, a jedina osoba koja može vratiti dosjee predmeta je na pauzi. VPN je korisna kontrola. On nije plan i ne može to biti.

Zašto alat dolazi posljednji

Tunel štiti saobraćaj između uređaja i mreže na drugoj strani. To je stvarna i konkretna zaštita i ne govori ništa o tome ko smije otvoriti dijeljenu fasciklu, da li je stranica za prijavu bila prava ili da li podaci od prošlog mjeseca još postoje.

Većina gubitaka u malim organizacijama dolazi kroz ta druga vrata. Preuzimanje računa, previše dijeljen dokument i laptop koji se ne može vratiti tri su kvara koje ispravan VPN ne dotiče. Nijedan od njih ne zahtijeva da neko probije tunel.

Počinjanje s alatom preokreće i razgovor o budžetu. Na kraju plaćate nešto što rješava problem koji niste imenovali, dok neatraktivne praznine ostaju otvorene jer ih niko nije zapisao.

Počnite s tri stvarna radna toka

Odaberite posao koji organizacija zaista obavlja, a ne katalog prijetnji. Tri radna toka su dovoljna; deset daje dokument koji niko ne dovršava. Spisak donatora, skup osjetljivih dokumenata predmeta i javni web sajt tri su različita problema s tri različita načina kvara.

Za svaki zapišite šta je vrijedno, kome je pristup legitimno potreban, ko bi ga mogao zloupotrijebiti i kakva bi bila posljedica ako bi bio otkriven, izmijenjen ili jednostavno nestao. Posljednje pitanje je ono koje timovi preskaču i ono koje daje najkorisnije radnje.

Uključite ljude čiji se podaci pojavljuju u tim evidencijama, ne samo opremu organizacije. Spisak donatora je spisak podataka drugih ljudi, a taj okvir mijenja koliko je pažnje srazmjerno. Spisak donatora je spisak podataka drugih ljudi, a taj okvir mijenja koliko je pažnje srazmjerno.

EFF-ov vodič za planiranje strukturira ovo oko imovine, protivnika, vjerovatnoće, posljedica, truda i saveznika. Ono što ga čini upotrebljivim za mali tim jeste to što traži da odaberete kamo ide ograničena pažnja umjesto da obećava da će sve biti sigurno.

Računi i put oporavka

Utvrdite ko kontroliše e-poštu, skladištenje u oblaku, registraciju domene i administrativni pristup. Zatim provjerite da li su to odvojeni ovlašteni računi ili jedan dijeljeni login koji znaju tri osobe. Dijeljeni loginovi pretvaraju svaki odlazak u reset lozinke koji niko ne može revidirati.

Uključite podržanu višefaktorsku provjeru za račune koji su važni i zapišite šta se događa kada zaposlenik ili volonter ode. Uključite i kako se zamjenski uređaj registruje, jer je to korak koji stvara sljedeću dijeljenu lozinku. Pristup koji se samo dodjeljuje jest pristup koji tiho raste.

Planirajte oporavak dok sve još radi. Znajte koji podaci imaju nezavisnu kopiju, ko ih može vratiti i kako tim dolazi do podrške kada mu uobičajena e-pošta ili privatna mreža nije dostupna. Polje za potvrdu koje tvrdi da su sigurnosne kopije uključene ne dokazuje ništa. Oporavak koji je neko zaista izveo dokazuje mnogo.

Imenujte drugog vlasnika za kritične račune. Lični poštanski sandučić volontera ne smije biti jedini put natrag na vlastiti web sajt organizacije, a ta jedna rečenica sprječava čitavu kategoriju vrlo loše sedmice.

Dajte VPN-u jedan konkretan zadatak

Ako zaposlenicima treba pristup privatnoj uredskoj usluzi, podržani tunel je razuman način da se to omogući. Držite spisak pristupa na ljudima, uređajima i uslugama kojima je potreban i ostavite vlastitu provjeru identiteta usluge gdje jeste.

Ako tim u potpunosti radi kroz dobro konfigurirane cloud aplikacije, utvrdite šta bi novi tunel zaista promijenio prije nego ga kupite. U mnogim malim organizacijama iskren odgovor je ništa mjerljivo, a isti novac potrošen na higijenu računa i testirani oporavak učinio bi više.

Alati za anonimnost ista su priča u drugom smjeru. Oni se bave određenim odnosima s posmatračima, a ne svakim organizacijskim rizikom, i nisu zamjena za pažljivo rukovanje osjetljivim podacima korisnika.

Kada posao uključuje ciljane prijetnje ili neuobičajeno osjetljive informacije, uključite kvalifikovanu pomoć za taj kontekst. Opća preporuka partnerske organizacije nije procjena prijetnji.

Šta sadrži plan na jednoj stranici

Završite kratkim spiskom, a ne dokumentom koji niko ne čita: najvažniji neriješeni rizici, odabrana radnja za svaki, vlasnik i datum sljedeće revizije.

Jedna stranica je dovoljna jer je namijenjena reviziji. Vratite joj se kada se pojavi nova usluga, kada volonter dođe ili ode i kada se promijeni odnos razmjene podataka.

To je sigurnosni program koji mali tim zaista može održavati, a VPN u njemu zaslužuje svoje mjesto rješavajući problem koji je neko zapisao.