Una VPN no es un plan de seguridad para una pequeña organización sin ánimo de lucro

Las organizaciones pequeñas compran un túnel y dan por hecho que ya son seguras. Lo que ocurre en realidad es que el túnel protege un tramo de un solo trayecto mientras la hoja de cálculo de donantes sigue compartida con cualquiera que tenga el enlace, el dominio se renueva con una tarjeta que nadie actualizó y la única persona capaz de restaurar los expedientes está de descanso. Una VPN es un control útil. No es un plan, y no puede serlo.

Por qué la herramienta llega al final

Un túnel protege el tráfico entre un dispositivo y la red del otro extremo. Es una protección real y concreta, y no dice nada sobre quién puede abrir una carpeta compartida, si una página de inicio de sesión era auténtica o si los datos del mes pasado siguen existiendo.

La mayoría de las pérdidas en organizaciones pequeñas llegan por esas otras puertas. El robo de una cuenta, un documento compartido en exceso y un portátil irrecuperable son tres fallos que una VPN en funcionamiento no toca. Ninguno de ellos exige que nadie rompa el túnel.

Empezar por la herramienta también invierte la conversación presupuestaria. Termina pagando por algo que resuelve un problema que no ha nombrado, mientras los huecos poco atractivos siguen abiertos porque nadie los escribió.

Empiece con tres flujos de trabajo reales

Elija el trabajo que la organización hace de verdad en lugar de un catálogo de amenazas. Tres flujos de trabajo bastan; diez producen un documento que nadie termina. Una lista de donantes, un conjunto de documentos sensibles de expedientes y un sitio web público son tres problemas distintos con tres modos de fallo distintos.

Para cada uno, anote qué es valioso, quién necesita acceso legítimamente, quién podría hacer un mal uso y cuál sería la consecuencia si se divulgara, se alterara o simplemente desapareciera. La última pregunta es la que los equipos se saltan y la que produce las acciones más útiles.

Incluya a las personas cuyos datos aparecen en esos registros, no solo el equipo de la organización. Una lista de donantes es una lista de datos de otras personas, y ese enfoque cambia cuánto cuidado es proporcionado. Una lista de donantes es una lista de datos de otras personas, y ese enfoque cambia cuánto cuidado es proporcionado.

La guía de planificación de EFF estructura esto en torno a activos, adversarios, probabilidad, consecuencias, esfuerzo y aliados. Lo que la hace utilizable para un equipo pequeño es que le pide elegir adónde va la atención limitada en lugar de prometer que todo estará a salvo.

Cuentas y el camino de recuperación

Identifique quién controla el correo, el almacenamiento en la nube, el registro del dominio y el acceso administrativo. Después compruebe si son cuentas autorizadas separadas o un único inicio de sesión compartido que tres personas conocen. Los inicios de sesión compartidos convierten cada salida en un restablecimiento de contraseña que nadie puede auditar.

Active la autenticación multifactor compatible con las cuentas que importan y anote qué ocurre cuando se va un miembro del personal o un voluntario. Incluya cómo se inscribe un dispositivo de sustitución, porque ese es el paso que crea la siguiente contraseña compartida. El acceso que solo se concede es acceso que se acumula en silencio.

Planifique la recuperación mientras todo funciona todavía. Sepa qué información tiene una copia independiente, quién puede restaurarla y cómo llega el equipo al soporte cuando su correo habitual o su red privada no están disponibles. Una casilla que afirma que las copias de seguridad están activadas no demuestra nada. Una restauración que alguien ha hecho de verdad demuestra bastante.

Nombre un segundo responsable para las cuentas críticas. El buzón personal de un voluntario no debe ser la única vía de vuelta al sitio web de la propia organización, y esa sola frase evita una categoría entera de semanas muy malas.

Dé a la VPN una tarea concreta

Si el personal necesita llegar a un servicio privado de oficina, un túnel compatible es una forma razonable de proporcionarlo. Mantenga la lista de acceso en las personas, dispositivos y servicios que lo necesitan, y deje la autenticación propia del servicio donde está.

Si el equipo trabaja enteramente mediante aplicaciones en la nube bien configuradas, establezca qué cambiaría realmente un túnel nuevo antes de comprar uno. En muchas organizaciones pequeñas la respuesta honesta es nada medible, y el mismo dinero gastado en higiene de cuentas y una restauración probada haría más.

Las herramientas de anonimato son la misma historia en otra dirección. Abordan relaciones concretas con observadores, no todos los riesgos organizativos, y no sustituyen el trato cuidadoso de datos sensibles de beneficiarios.

Cuando el trabajo implica amenazas dirigidas o información inusualmente sensible, incorpore ayuda cualificada para ese contexto. Una recomendación genérica de una organización colega no es una evaluación de amenazas.

Qué contiene el plan de una página

Termine con una lista corta en lugar de un documento que nadie lee: los riesgos sin resolver más importantes, la acción elegida para cada uno, un responsable y la fecha de la próxima revisión.

Una página basta porque está pensada para revisarse. Vuelva a ella cuando aparezca un servicio nuevo, cuando un voluntario se incorpore o se marche y cuando cambie una relación de intercambio de datos.

Ese es un programa de seguridad que un equipo pequeño puede mantener de verdad, y la VPN se gana su lugar dentro resolviendo un problema que alguien escribió.