Ένα VPN δεν είναι σχέδιο ασφαλείας για έναν μικρό μη κερδοσκοπικό οργανισμό

Οι μικροί οργανισμοί αγοράζουν ένα τούνελ και υποθέτουν ότι έχουν γίνει ασφαλείς. Αυτό που συμβαίνει στην πραγματικότητα είναι ότι το τούνελ προστατεύει ένα σκέλος ενός μόνο ταξιδιού, ενώ το λογιστικό φύλλο δωρητών παραμένει κοινόχρηστο με όποιον έχει τον σύνδεσμο, ο τομέας ανανεώνεται με κάρτα που κανείς δεν ενημέρωσε, και το μόνο άτομο που μπορεί να επαναφέρει τους φακέλους υποθέσεων βρίσκεται σε διάλειμμα. Ένα VPN είναι ένα χρήσιμο μέτρο. Δεν είναι σχέδιο, και δεν μπορεί να είναι.

Γιατί το εργαλείο έρχεται τελευταίο

Ένα τούνελ προστατεύει την κίνηση ανάμεσα σε μια συσκευή και το δίκτυο στην άλλη άκρη. Αυτή είναι μια πραγματική και συγκεκριμένη προστασία, και δεν λέει τίποτα για το ποιος επιτρέπεται να ανοίξει έναν κοινόχρηστο φάκελο, αν μια σελίδα σύνδεσης ήταν γνήσια ή αν τα δεδομένα του προηγούμενου μήνα υπάρχουν ακόμη.

Οι περισσότερες απώλειες σε μικρούς οργανισμούς φτάνουν από αυτές τις άλλες πόρτες. Η κατάληψη λογαριασμού, ένα υπερκοινοποιημένο έγγραφο και ένα φορητό που δεν ανακτάται είναι τρεις αποτυχίες που ένα λειτουργικό VPN δεν αγγίζει. Καμία από αυτές δεν απαιτεί από κάποιον να σπάσει το τούνελ.

Το να ξεκινάς με το εργαλείο αντιστρέφει και τη συζήτηση για τον προϋπολογισμό. Καταλήγετε να πληρώνετε για κάτι που λύνει ένα πρόβλημα που δεν έχετε ονομάσει, ενώ τα άχαρα κενά μένουν ανοιχτά επειδή κανείς δεν τα κατέγραψε.

Ξεκινήστε με τρεις πραγματικές ροές εργασίας

Διαλέξτε τη δουλειά που κάνει πραγματικά ο οργανισμός και όχι έναν κατάλογο απειλών. Τρεις ροές εργασίας αρκούν· δέκα παράγουν ένα έγγραφο που κανείς δεν ολοκληρώνει. Μια λίστα δωρητών, ένα σύνολο ευαίσθητων εγγράφων υποθέσεων και ένας δημόσιος ιστότοπος είναι τρία διαφορετικά προβλήματα με τρεις διαφορετικούς τρόπους αποτυχίας.

Για καθένα, γράψτε τι είναι πολύτιμο, ποιος χρειάζεται νόμιμα πρόσβαση, ποιος θα μπορούσε να την καταχραστεί και ποια θα ήταν η συνέπεια αν αποκαλυπτόταν, αλλοιωνόταν ή απλώς χανόταν. Η τελευταία ερώτηση είναι αυτή που προσπερνούν οι ομάδες και αυτή που παράγει τις πιο χρήσιμες ενέργειες.

Συμπεριλάβετε τους ανθρώπους των οποίων τα στοιχεία εμφανίζονται σε αυτά τα αρχεία, όχι μόνο τον εξοπλισμό του οργανισμού. Μια λίστα δωρητών είναι μια λίστα με στοιχεία άλλων ανθρώπων, και αυτό το πλαίσιο αλλάζει πόση φροντίδα είναι αναλογική. Μια λίστα δωρητών είναι μια λίστα με στοιχεία άλλων ανθρώπων, και αυτό το πλαίσιο αλλάζει πόση φροντίδα είναι αναλογική.

Ο οδηγός σχεδιασμού του EFF δομεί αυτό γύρω από περιουσιακά στοιχεία, αντιπάλους, πιθανότητα, συνέπειες, προσπάθεια και συμμάχους. Αυτό που τον κάνει χρηστικό για μια μικρή ομάδα είναι ότι σας ζητά να διαλέξετε πού πηγαίνει η περιορισμένη προσοχή αντί να υπόσχεται ότι όλα θα είναι ασφαλή.

Λογαριασμοί και η διαδρομή ανάκτησης

Προσδιορίστε ποιος ελέγχει το ηλεκτρονικό ταχυδρομείο, την αποθήκευση στο νέφος, την καταχώριση του τομέα και τη διαχειριστική πρόσβαση. Έπειτα ελέγξτε αν πρόκειται για ξεχωριστούς εξουσιοδοτημένους λογαριασμούς ή για μία κοινή σύνδεση που γνωρίζουν τρία άτομα. Οι κοινές συνδέσεις μετατρέπουν κάθε αποχώρηση σε επαναφορά κωδικού που κανείς δεν μπορεί να ελέγξει.

Ενεργοποιήστε την υποστηριζόμενη πολυπαραγοντική επαλήθευση για τους λογαριασμούς που μετράνε, και καταγράψτε τι συμβαίνει όταν φεύγει ένα μέλος του προσωπικού ή ένας εθελοντής. Συμπεριλάβετε πώς καταχωρείται μια συσκευή αντικατάστασης, γιατί αυτό είναι το βήμα που δημιουργεί τον επόμενο κοινό κωδικό. Η πρόσβαση που μόνο δίνεται είναι πρόσβαση που συσσωρεύεται σιωπηλά.

Σχεδιάστε την ανάκτηση όσο όλα λειτουργούν ακόμη. Μάθετε ποια πληροφορία έχει ανεξάρτητο αντίγραφο, ποιος μπορεί να την επαναφέρει και πώς η ομάδα φτάνει στην υποστήριξη όταν το κανονικό της ταχυδρομείο ή το ιδιωτικό της δίκτυο δεν είναι διαθέσιμα. Ένα πλαίσιο ελέγχου που ισχυρίζεται ότι τα αντίγραφα ασφαλείας είναι ενεργά δεν αποδεικνύει τίποτα. Μια ανάκτηση που έχει κάνει πραγματικά κάποιος αποδεικνύει αρκετά.

Ορίστε δεύτερο υπεύθυνο για κρίσιμους λογαριασμούς. Το προσωπικό γραμματοκιβώτιο ενός εθελοντή δεν πρέπει να είναι ο μόνος δρόμος επιστροφής στον ιστότοπο του ίδιου του οργανισμού, και αυτή η μία φράση αποτρέπει μια ολόκληρη κατηγορία πολύ κακών εβδομάδων.

Δώστε στο VPN μία συγκεκριμένη δουλειά

Αν το προσωπικό πρέπει να φτάσει σε μια ιδιωτική υπηρεσία γραφείου, ένα υποστηριζόμενο τούνελ είναι λογικός τρόπος να το παρέχετε. Κρατήστε τη λίστα πρόσβασης στους ανθρώπους, τις συσκευές και τις υπηρεσίες που το χρειάζονται, και αφήστε την επαλήθευση της ίδιας της υπηρεσίας εκεί που είναι.

Αν η ομάδα εργάζεται αποκλειστικά μέσω καλά ρυθμισμένων εφαρμογών νέφους, καθορίστε τι θα άλλαζε πραγματικά ένα νέο τούνελ πριν αγοράσετε ένα. Σε πολλούς μικρούς οργανισμούς η ειλικρινής απάντηση είναι τίποτα μετρήσιμο, και τα ίδια χρήματα σε υγιεινή λογαριασμών και δοκιμασμένη ανάκτηση θα έκαναν περισσότερα.

Τα εργαλεία ανωνυμίας είναι η ίδια ιστορία προς άλλη κατεύθυνση. Αντιμετωπίζουν συγκεκριμένες σχέσεις παρατηρητών, όχι κάθε οργανωτικό κίνδυνο, και δεν υποκαθιστούν τον προσεκτικό χειρισμό ευαίσθητων δεδομένων ωφελουμένων.

Όπου η εργασία περιλαμβάνει στοχευμένες απειλές ή ασυνήθιστα ευαίσθητες πληροφορίες, φέρτε εξειδικευμένη βοήθεια για αυτό το πλαίσιο. Μια γενική σύσταση από έναν συνεργαζόμενο οργανισμό δεν είναι εκτίμηση απειλών.

Τι περιέχει το σχέδιο μιας σελίδας

Τελειώστε με μια σύντομη λίστα αντί για ένα έγγραφο που κανείς δεν διαβάζει: τους πιο σοβαρούς άλυτους κινδύνους, την ενέργεια που επιλέχθηκε για τον καθένα, έναν υπεύθυνο και την ημερομηνία της επόμενης αναθεώρησης.

Μία σελίδα αρκεί, γιατί προορίζεται να αναθεωρείται. Επιστρέψτε σε αυτήν όταν εμφανιστεί μια νέα υπηρεσία, όταν έρθει ή φύγει ένας εθελοντής και όταν αλλάξει μια σχέση κοινοποίησης δεδομένων.

Αυτό είναι ένα πρόγραμμα ασφαλείας που μια μικρή ομάδα μπορεί πραγματικά να διατηρήσει, και το VPN κερδίζει τη θέση του μέσα σε αυτό λύνοντας ένα πρόβλημα που κάποιος κατέγραψε.