Ein VPN ist kein Sicherheitsplan für ein kleines gemeinnütziges Unternehmen

Kleine Organisationen kaufen einen Tunnel und nehmen an, sie seien nun sicher. Tatsächlich schützt der Tunnel ein Teilstück einer einzigen Strecke, während die Spendertabelle für alle mit dem Link freigegeben bleibt, die Domain mit einer Karte verlängert wird, die niemand aktualisiert hat, und die einzige Person, die die Falldateien wiederherstellen kann, in der Pause ist. Ein VPN ist eine nützliche Kontrolle. Es ist kein Plan und kann keiner sein.

Warum das Werkzeug zuletzt kommt

Ein Tunnel schützt den Datenverkehr zwischen einem Gerät und dem Netz am anderen Ende. Das ist ein realer und konkreter Schutz, und er sagt nichts darüber, wer einen geteilten Ordner öffnen darf, ob eine Anmeldeseite echt war oder ob die Daten des letzten Monats noch existieren.

Die meisten Verluste in kleinen Organisationen kommen durch diese anderen Türen. Kontoübernahme, ein zu breit geteiltes Dokument und ein nicht wiederherstellbarer Laptop sind drei Fehler, die ein funktionierender VPN nicht berührt. Keiner davon verlangt, dass jemand den Tunnel bricht.

Mit dem Werkzeug zu beginnen, kehrt auch das Budgetgespräch um. Am Ende zahlen Sie für etwas, das ein Problem löst, das Sie nicht benannt haben, während die unattraktiven Lücken offen bleiben, weil niemand sie aufgeschrieben hat.

Beginnen Sie mit drei echten Arbeitsabläufen

Wählen Sie die Arbeit, die die Organisation tatsächlich leistet, statt einen Bedrohungskatalog. Drei Arbeitsabläufe genügen; zehn ergeben ein Dokument, das niemand fertigstellt. Eine Spenderliste, eine Sammlung sensibler Falldokumente und eine öffentliche Website sind drei verschiedene Probleme mit drei verschiedenen Ausfallarten.

Notieren Sie für jedes davon, was wertvoll ist, wer legitim Zugriff braucht, wer ihn missbrauchen könnte und welche Folge es hätte, wenn es offengelegt, verändert oder einfach verloren wäre. Die letzte Frage ist die, die Teams überspringen, und die, die die nützlichsten Maßnahmen hervorbringt.

Beziehen Sie die Menschen ein, deren Informationen in diesen Unterlagen stehen, nicht nur die Ausstattung der Organisation. Eine Spenderliste ist eine Liste der Daten anderer Menschen, und dieser Rahmen verändert, wie viel Sorgfalt angemessen ist. Eine Spenderliste ist eine Liste der Daten anderer Menschen, und dieser Rahmen verändert, wie viel Sorgfalt angemessen ist.

Der Planungsleitfaden von EFF strukturiert dies um Werte, Gegner, Wahrscheinlichkeit, Folgen, Aufwand und Verbündete. Für ein kleines Team brauchbar wird er dadurch, dass er Sie wählen lässt, wohin die begrenzte Aufmerksamkeit geht, statt zu versprechen, dass alles sicher sein wird.

Konten und der Weg zur Wiederherstellung

Stellen Sie fest, wer E-Mail, Cloudspeicher, die Domainregistrierung und administrativen Zugriff kontrolliert. Prüfen Sie dann, ob das getrennte autorisierte Konten sind oder ein gemeinsames Login, das drei Personen kennen. Gemeinsame Logins machen jeden Abgang zu einem Passwort-Reset, den niemand prüfen kann.

Aktivieren Sie unterstützte Mehrfaktorauthentifizierung für die Konten, die zählen, und schreiben Sie auf, was passiert, wenn eine Mitarbeiterin oder ein Freiwilliger geht. Halten Sie fest, wie ein Ersatzgerät angemeldet wird, denn dieser Schritt erzeugt das nächste gemeinsame Passwort. Zugriff, der nur vergeben wird, ist Zugriff, der sich still anhäuft.

Planen Sie die Wiederherstellung, solange noch alles funktioniert. Wissen Sie, welche Informationen eine unabhängige Kopie haben, wer sie wiederherstellen kann und wie das Team den Support erreicht, wenn seine normale E-Mail oder sein privates Netz nicht verfügbar ist. Ein Häkchen, das behauptet, Backups seien aktiviert, beweist nichts. Eine Wiederherstellung, die jemand tatsächlich durchgeführt hat, beweist eine Menge.

Benennen Sie einen zweiten Verantwortlichen für kritische Konten. Das private Postfach einer Freiwilligen darf nicht der einzige Weg zurück zur eigenen Website der Organisation sein, und dieser eine Satz verhindert eine ganze Kategorie sehr schlechter Wochen.

Geben Sie dem VPN eine konkrete Aufgabe

Wenn Mitarbeitende einen privaten Bürodienst erreichen müssen, ist ein unterstützter Tunnel ein vernünftiger Weg, das bereitzustellen. Halten Sie die Zugriffsliste auf die Personen, Geräte und Dienste beschränkt, die ihn brauchen, und lassen Sie die eigene Authentifizierung des Dienstes, wo sie ist.

Wenn das Team ausschließlich über gut konfigurierte Cloud-Anwendungen arbeitet, stellen Sie fest, was ein neuer Tunnel tatsächlich ändern würde, bevor Sie einen kaufen. In vielen kleinen Organisationen ist die ehrliche Antwort nichts Messbares, und dasselbe Geld für Kontohygiene und eine getestete Wiederherstellung würde mehr bewirken.

Anonymisierungswerkzeuge sind dieselbe Geschichte in eine andere Richtung. Sie adressieren bestimmte Beobachterverhältnisse, nicht jedes organisatorische Risiko, und sie ersetzen keinen sorgfältigen Umgang mit sensiblen Daten von Begünstigten.

Wo die Arbeit gezielte Bedrohungen oder ungewöhnlich sensible Informationen umfasst, holen Sie für diesen Kontext qualifizierte Hilfe. Eine allgemeine Empfehlung einer Partnerorganisation ist keine Bedrohungsanalyse.

Was der Ein-Seiten-Plan enthält

Schließen Sie mit einer kurzen Liste statt mit einem Dokument, das niemand liest: die folgenreichsten ungelösten Risiken, die gewählte Maßnahme für jedes, eine verantwortliche Person und das Datum der nächsten Überprüfung.

Eine Seite genügt, weil sie überarbeitet werden soll. Kehren Sie zu ihr zurück, wenn ein neuer Dienst erscheint, wenn eine Freiwillige kommt oder geht und wenn sich eine Datenweitergabebeziehung ändert.

Das ist ein Sicherheitsprogramm, das ein kleines Team tatsächlich pflegen kann, und das VPN verdient seinen Platz darin, indem es ein Problem löst, das jemand aufgeschrieben hat.