Una VPN no és un pla de seguretat per a una petita entitat sense ànim de lucre

Les organitzacions petites compren un túnel i assumeixen que ja són segures. El que passa en realitat és que el túnel protegeix un tram d'un sol viatge mentre el full de càlcul de donants continua compartit amb qualsevol que tingui l'enllaç, el domini es renova amb una targeta que ningú no ha actualitzat i l'única persona que pot restaurar els expedients és de pausa. Una VPN és un control útil. No és un pla, i no pot ser-ho.

Per què l'eina arriba al final

Un túnel protegeix el trànsit entre un dispositiu i la xarxa de l'altre extrem. És una protecció real i concreta, i no diu res sobre qui pot obrir una carpeta compartida, si la pàgina d'inici de sessió era autèntica o si les dades del mes passat encara existeixen.

La majoria de pèrdues en organitzacions petites arriben per aquestes altres portes. El robatori d'un compte, un document massa compartit i un portàtil irrecuperable són tres fallades que una VPN operativa no toca. Cap d'elles no requereix que ningú trenqui el túnel.

Començar per l'eina també inverteix la conversa sobre el pressupost. Acabeu pagant per una cosa que resol un problema que no heu anomenat, mentre els buits poc atractius continuen oberts perquè ningú no els ha escrit.

Comenceu amb tres fluxos de treball reals

Trieu la feina que l'entitat fa realment, no un catàleg d'amenaces. Tres fluxos de treball són suficients; deu produeixen un document que ningú no acaba. Una llista de donants, un conjunt de documents sensibles d'expedients i un lloc web públic són tres problemes diferents amb tres maneres diferents de fallar.

Per a cadascun, anoteu què és valuós, qui necessita accés legítimament, qui podria fer-ne un mal ús i quina seria la conseqüència si es revelés, s'alterés o simplement desaparegués. L'última pregunta és la que els equips salten i la que produeix les accions més útils.

Incloeu les persones les dades de les quals apareixen en aquests registres, no només l'equipament de l'entitat. Una llista de donants és una llista de dades d'altres persones, i aquest enfocament canvia quanta cura és proporcionada. Una llista de donants és una llista de dades d'altres persones, i aquest enfocament canvia quanta cura és proporcionada.

La guia de planificació d'EFF estructura això al voltant d'actius, adversaris, probabilitat, conseqüències, esforç i aliats. El que la fa utilitzable per a un equip petit és que us demana triar on va l'atenció limitada en lloc de prometre que tot estarà segur.

Comptes i el camí de recuperació

Identifiqueu qui controla el correu, l'emmagatzematge al núvol, el registre del domini i l'accés administratiu. Després comproveu si són comptes autoritzats separats o un sol inici de sessió compartit que tres persones coneixen. Els inicis de sessió compartits converteixen cada sortida en un restabliment de contrasenya que ningú no pot auditar.

Activeu l'autenticació multifactor compatible per als comptes que importen i anoteu què passa quan un membre del personal o un voluntari marxa. Incloeu com s'inscriu un dispositiu de substitució, perquè aquest és el pas que crea la propera contrasenya compartida. L'accés que només s'atorga és accés que s'acumula en silenci.

Planifiqueu la recuperació mentre tot encara funciona. Sapigueu quina informació té una còpia independent, qui pot restaurar-la i com l'equip arriba al suport quan el seu correu habitual o la seva xarxa privada no estan disponibles. Una casella que afirma que les còpies de seguretat estan activades no demostra res. Una restauració que algú ha fet de debò demostra força.

Nomenen un segon responsable per als comptes crítics. La bústia personal d'un voluntari no ha de ser l'única manera de tornar al lloc web propi de l'entitat, i aquesta sola frase evita una categoria de setmanes molt dolentes.

Doneu a la VPN una tasca concreta

Si el personal ha d'arribar a un servei privat d'oficina, un túnel compatible és una manera raonable de proporcionar-ho. Manteniu la llista d'accés a les persones, dispositius i serveis que el necessiten, i deixeu l'autenticació pròpia del servei on és.

Si l'equip treballa íntegrament amb aplicacions al núvol ben configurades, establiu què canviaria realment un túnel nou abans de comprar-ne un. En moltes organitzacions petites la resposta honesta és res mesurable, i els mateixos diners gastats en higiene de comptes i una restauració provada farien més.

Les eines d'anonimat són la mateixa història en una altra direcció. Aborden relacions concretes amb observadors, no tots els riscos organitzatius, i no substitueixen el tractament acurat de dades sensibles de beneficiaris.

Quan la feina implica amenaces dirigides o informació inusualment sensible, incorporeu ajuda qualificada per a aquest context. Una recomanació genèrica d'una entitat col·lega no és una avaluació d'amenaces.

Què conté el pla d'una pàgina

Acabeu amb una llista curta en lloc d'un document que ningú no llegeix: els riscos no resolts més importants, l'acció triada per a cadascun, un responsable i la data de revisió següent.

Una pàgina és suficient perquè està pensada per revisar-se. Torneu-hi quan aparegui un servei nou, quan un voluntari s'incorpori o marxi i quan canviï una relació de compartició de dades.

Aquest és un programa de seguretat que un equip petit pot mantenir de veritat, i la VPN s'hi guanya el lloc resolent un problema que algú va escriure.