VPN ei ole väikese mittetulundusühingu turvaplaan

Väikesed organisatsioonid ostavad tunneli ja eeldavad, et on nüüd turvalised. Tegelikult kaitseb tunnel ühe reisi ühte lõiku, samal ajal kui annetajate tabel jääb jagatuks kõigiga, kellel on link, domeen uuendatakse kaardiga, mida keegi ei uuendanud, ja ainus inimene, kes suudab toimikud taastada, on puhkusel. VPN on kasulik meede. See ei ole plaan ega saa selleks olla.

Miks tööriist tuleb viimasena

Tunnel kaitseb liiklust seadme ja teises otsas oleva võrgu vahel. See on tõeline ja konkreetne kaitse ning see ei ütle midagi selle kohta, kes tohib jagatud kausta avada, kas sisselogimisleht oli ehtne või kas eelmise kuu andmed veel alles on.

Enamik väikeste organisatsioonide kahjusid tuleb nende teiste uste kaudu. Konto ülevõtmine, liiga laialt jagatud dokument ja taastamatu sülearvuti on kolm ebaõnnestumist, mida töötav VPN ei puuduta. Ükski neist ei nõua, et keegi tunneli läbi murraks.

Tööriistast alustamine pöörab ka eelarvevestluse tagurpidi. Lõpuks maksate millegi eest, mis lahendab probleemi, mida te ei nimetanud, samal ajal kui ilmetud lüngad jäävad lahtiseks, sest keegi ei kirjutanud neid üles.

Alustage kolmest tegelikust töövoost

Valige töö, mida organisatsioon tegelikult teeb, mitte ohtude kataloog. Kolmest töövoost piisab; kümme annavad dokumendi, mida keegi lõpuni ei tee. Annetajate nimekiri, kogum tundlikke toimikudokumente ja avalik veebileht on kolm erinevat probleemi kolme erineva rikkerežiimiga.

Igaühe kohta kirjutage üles, mis on väärtuslik, kes vajab seaduslikult juurdepääsu, kes võiks seda kuritarvitada ja milline oleks tagajärg, kui see avalikustataks, muudetaks või lihtsalt kaoks. Viimane küsimus on see, mille tiimid vahele jätavad, ja see, mis annab kõige kasulikumad tegevused.

Kaasake inimesed, kelle andmed nendes kirjetes esinevad, mitte ainult organisatsiooni vara. Annetajate nimekiri on teiste inimeste andmete nimekiri ja see raamistus muudab, kui palju hoolt on proportsionaalne. Annetajate nimekiri on teiste inimeste andmete nimekiri ja see raamistus muudab, kui palju hoolt on proportsionaalne.

EFF-i planeerimisjuhend struktureerib selle varade, vastaste, tõenäosuse, tagajärgede, pingutuse ja liitlaste ümber. Väikese tiimi jaoks muudab selle kasutatavaks see, et see palub valida, kuhu piiratud tähelepanu läheb, mitte ei luba, et kõik on turvaline.

Kontod ja taastamise tee

Tehke kindlaks, kes kontrollib e-posti, pilvsalvestust, domeeni registreerimist ja haldusjuurdepääsu. Seejärel kontrollige, kas need on eraldi volitatud kontod või üks jagatud sisselogimine, mida teavad kolm inimest. Jagatud sisselogimised muudavad iga lahkumise parooli lähtestamiseks, mida keegi auditeerida ei saa.

Lülitage sisse toetatud mitmefaktoriline autentimine kontode jaoks, mis loevad, ja kirjutage üles, mis juhtub, kui töötaja või vabatahtlik lahkub. Lisage, kuidas asendusseade registreeritakse, sest just see samm loob järgmise ühise parooli. Juurdepääs, mida ainult antakse, on juurdepääs, mis vaikselt koguneb.

Planeerige taastamine, kuni kõik veel töötab. Teadke, millisel teabel on sõltumatu koopia, kes saab selle taastada ja kuidas tiim jõuab toetuseni, kui selle tavaline e-post või privaatvõrk pole saadaval. Märkeruut, mis väidab, et varukoopiad on lubatud, ei tõesta midagi. Taastamine, mille keegi on tegelikult teinud, tõestab palju.

Nimetage kriitilistele kontodele teine vastutaja. Vabatahtliku isiklik postkast ei tohi olla ainus tee tagasi organisatsiooni enda veebilehele, ja see üks lause hoiab ära terve kategooria väga halbu nädalaid.

Andke VPN-ile üks konkreetne ülesanne

Kui töötajad peavad jõudma privaatse kontoriteenuseni, on toetatud tunnel selle pakkumiseks mõistlik viis. Hoidke juurdepääsunimekiri inimeste, seadmete ja teenuste juures, kes seda vajavad, ja jätke teenuse enda autentimine sinna, kus see on.

Kui tiim töötab täielikult hästi seadistatud pilverakenduste kaudu, tehke enne uue ostmist kindlaks, mida uus tunnel tegelikult muudaks. Paljudes väikestes organisatsioonides on aus vastus mitte midagi mõõdetavat, ja sama raha kontode hügieeni ja testitud taastamise peale kulutades teeks rohkem.

Anonüümsuse tööriistad on sama lugu teises suunas. Need tegelevad teatud vaatlejasuhetega, mitte iga organisatsioonilise riskiga, ega asenda tundlike abisaajate andmete hoolikat käsitlemist.

Kui töö hõlmab sihitud ohte või ebatavaliselt tundlikku teavet, kaasake sellesse konteksti kvalifitseeritud abi. Partnerorganisatsiooni üldine soovitus ei ole ohuprognoos.

Mida ühe lehekülje plaan sisaldab

Lõpetage lühikese nimekirjaga, mitte dokumendiga, mida keegi ei loe: kõige tagajärjerikkamad lahendamata riskid, igaühe jaoks valitud tegevus, vastutaja ja järgmise ülevaatuse kuupäev.

Ühest lehest piisab, sest see on mõeldud ülevaatamiseks. Pöörduge selle juurde tagasi, kui ilmub uus teenus, kui vabatahtlik liitub või lahkub ja kui andmejagamissuhe muutub.

See on turbeprogramm, mida väike tiim tõesti suudab hoida, ja VPN teenib selles oma koha, lahendades probleemi, mille keegi üles kirjutas.