VPN není bezpečnostní plán pro malou neziskovou organizaci

Malé organizace koupí tunel a předpokládají, že jsou v bezpečí. Ve skutečnosti tunel chrání jeden úsek jedné cesty, zatímco tabulka dárců zůstává sdílená s kýmkoli, kdo má odkaz, doména se obnovuje kartou, kterou nikdo neaktualizoval, a jediný člověk, který umí obnovit spisy případů, je na přestávce. VPN je užitečné opatření. Není to plán a nemůže jím být.

Proč nástroj přichází nakonec

Tunel chrání provoz mezi zařízením a sítí na druhém konci. To je skutečná a konkrétní ochrana a neříká nic o tom, kdo smí otevřít sdílenou složku, zda byla přihlašovací stránka pravá nebo zda data z minulého měsíce ještě existují.

Většina ztrát v malých organizacích přichází oněmi jinými dveřmi. Převzetí účtu, příliš sdílený dokument a neobnovitelný notebook jsou tři selhání, kterých se fungující VPN netýká. Ani jedno z nich nevyžaduje, aby někdo prolomil tunel.

Začít nástrojem také obrací rozhovor o rozpočtu. Nakonec platíte za něco, co řeší problém, který jste nepojmenovali, zatímco neatraktivní mezery zůstávají otevřené, protože je nikdo nezapsal.

Začněte třemi skutečnými pracovními postupy

Vyberte práci, kterou organizace skutečně dělá, ne katalog hrozeb. Tři pracovní postupy stačí; deset vytvoří dokument, který nikdo nedokončí. Seznam dárců, sada citlivých dokumentů ke kauzám a veřejný web jsou tři různé problémy se třemi různými režimy selhání.

U každého zapište, co je cenné, kdo oprávněně potřebuje přístup, kdo by jej mohl zneužít a jaký by byl důsledek, kdyby bylo prozrazeno, pozměněno nebo prostě zmizelo. Poslední otázka je ta, kterou týmy přeskakují, a ta, která přináší nejužitečnější opatření.

Zahrňte lidi, jejichž údaje se v těchto záznamech objevují, nejen vybavení organizace. Seznam dárců je seznam údajů jiných lidí a tento rámec mění, kolik péče je přiměřené. Seznam dárců je seznam údajů jiných lidí a tento rámec mění, kolik péče je přiměřené.

Plánovací příručka EFF to staví kolem aktiv, protivníků, pravděpodobnosti, důsledků, úsilí a spojenců. Pro malý tým je použitelná díky tomu, že po vás chce vybrat, kam půjde omezená pozornost, místo aby slibovala, že všechno bude v bezpečí.

Účty a cesta k obnově

Určete, kdo ovládá e-mail, cloudové úložiště, registraci domény a administrativní přístup. Pak zkontrolujte, zda jde o oddělené oprávněné účty, nebo o jedno sdílené přihlášení, které znají tři lidé. Sdílená přihlášení mění každý odchod v reset hesla, který nikdo nemůže auditovat.

Zapněte podporované vícefaktorové ověřování pro účty, na kterých záleží, a zapište, co se stane, když zaměstnanec nebo dobrovolník odejde. Uveďte i to, jak se zaregistruje náhradní zařízení, protože právě tento krok vytváří další sdílené heslo. Přístup, který se jen uděluje, je přístup, který tiše narůstá.

Plánujte obnovu, dokud všechno ještě funguje. Vězte, které informace mají nezávislou kopii, kdo je může obnovit a jak se tým dostane k podpoře, když jeho běžný e-mail nebo privátní síť nejsou dostupné. Zaškrtávací políčko tvrdící, že zálohy jsou zapnuté, nic nedokazuje. Obnova, kterou někdo skutečně provedl, dokazuje dost.

Jmenujte druhého vlastníka kritických účtů. Osobní schránka dobrovolníka nesmí být jedinou cestou zpět na vlastní web organizace, a tato jediná věta zabrání celé kategorii velmi špatných týdnů.

Dejte VPN jeden konkrétní úkol

Pokud zaměstnanci potřebují dosáhnout na privátní kancelářskou službu, podporovaný tunel je rozumný způsob, jak to zajistit. Držte seznam přístupu na lidech, zařízeních a službách, které jej potřebují, a nechte vlastní ověřování služby tam, kde je.

Pokud tým pracuje výhradně přes dobře nastavené cloudové aplikace, zjistěte, co by nový tunel skutečně změnil, než nějaký koupíte. V mnoha malých organizacích je poctivá odpověď nic měřitelného a stejné peníze vynaložené na hygienu účtů a vyzkoušenou obnovu by udělaly víc.

Nástroje pro anonymitu jsou stejný příběh jiným směrem. Řeší určité vztahy s pozorovateli, ne každé organizační riziko, a nenahrazují pečlivé zacházení s citlivými údaji příjemců.

Když práce zahrnuje cílené hrozby nebo neobvykle citlivé informace, přizvěte pro tento kontext kvalifikovanou pomoc. Obecné doporučení od partnerské organizace není hodnocení hrozeb.

Co obsahuje jednostránkový plán

Skončete krátkým seznamem, ne dokumentem, který nikdo nečte: nejzávažnější nevyřešená rizika, zvolené opatření pro každé, vlastník a datum příští revize.

Jedna stránka stačí, protože je určena k přepracování. Vracejte se k ní, když se objeví nová služba, když dobrovolník nastoupí nebo odejde a když se změní vztah sdílení dat.

To je bezpečnostní program, který malý tým skutečně dokáže udržovat, a VPN si v něm své místo zaslouží tím, že řeší problém, který někdo zapsal.