VPN نقشه امنیتی یک سازمان غیرانتفاعی کوچک نیست
سوابق اهداکنندگان، پرونده‌ها و حساب‌های مشترک، ریسک واقعی را تعیین می‌کنند. تصمیم بگیرید یک تونل چه چیزی را تغییر می‌دهد، سپس به آن یک وظیفه و یک مسئول مشخص بدهید.
سازمان‌های کوچک یک تونل می‌خرند و گمان می‌کنند اکنون امن شده‌اند. آنچه در واقع رخ می‌دهد این است که تونل یک بخش از یک سفر را محافظت می‌کند، در حالی که صفحه‌گسترده اهداکنندگان با هر کسی که پیوند را دارد مشترک می‌ماند، دامنه با کارتی که هیچ‌کس به‌روز نکرده تمدید می‌شود، و تنها کسی که می‌تواند پرونده‌ها را بازیابی کند در استراحت است. VPN یک کنترل سودمند است. این یک نقشه نیست و نمی‌تواند باشد.
چرا ابزار آخر می‌آید
یک تونل ترافیک میان یک دستگاه و شبکه در آن سوی دیگر را محافظت می‌کند. این حفاظتی واقعی و مشخص است و هیچ چیزی درباره اینکه چه کسی می‌تواند یک پوشه مشترک را باز کند، آیا صفحه ورود اصیل بوده، یا آیا داده‌های ماه گذشته هنوز وجود دارند نمی‌گوید.
بیشتر زیان‌ها در سازمان‌های کوچک از همان درهای دیگر می‌آید. تصاحب حساب، سندی که بیش از حد به اشتراک گذاشته شده و لپ‌تاپی که بازیابی نمی‌شود سه شکستی هستند که یک VPN سالم به آن‌ها دست نمی‌زند. هیچ‌یک از آن‌ها نیاز ندارد کسی تونل را بشکند.
شروع با ابزار گفت‌وگوی بودجه را هم وارونه می‌کند. در نهایت برای چیزی پول می‌دهید که مشکلی را حل می‌کند که آن را نام نبرده‌اید، در حالی که شکاف‌های بی‌جذاب باز می‌مانند چون هیچ‌کس آن‌ها را ننوشته است.
با سه جریان کاری واقعی شروع کنید
کاری را انتخاب کنید که سازمان واقعاً انجام می‌دهد نه یک فهرست تهدید. سه جریان کاری کافی است؛ ده جریان سندی می‌سازد که هیچ‌کس تمامش نمی‌کند. فهرست اهداکنندگان، مجموعه‌ای از اسناد حساس پرونده و یک وب‌سایت عمومی سه مسئله متفاوت با سه شیوه شکست متفاوت هستند.
برای هر یک بنویسید چه چیزی ارزشمند است، چه کسی به‌طور مشروع به دسترسی نیاز دارد، چه کسی می‌تواند از آن سوءاستفاده کند، و اگر افشا، تغییر یا به‌سادگی ناپدید شود پیامد چه خواهد بود. پرسش آخر همان است که تیم‌ها از آن می‌گذرند و همان که سودمندترین اقدامات را پدید می‌آورد.
کسانی را هم در نظر بگیرید که اطلاعاتشان در آن سوابق آمده است، نه فقط تجهیزات سازمان را. فهرست اهداکنندگان فهرستی از جزئیات دیگران است و این چارچوب تغییر می‌دهد که چه اندازه مراقبت متناسب است. فهرست اهداکنندگان فهرستی از جزئیات دیگران است و این چارچوب تغییر می‌دهد که چه اندازه مراقبت متناسب است.
راهنمای برنامه‌ریزی EFF این را حول دارایی‌ها، دشمنان، احتمال، پیامدها، تلاش و متحدان ساختار می‌دهد. آنچه آن را برای یک تیم کوچک قابل استفاده می‌کند این است که از شما می‌خواهد انتخاب کنید توجه محدود کجا برود، به‌جای آنکه وعده دهد همه‌چیز امن خواهد بود.
حساب‌ها و مسیر بازیابی
مشخص کنید چه کسی ایمیل، فضای ذخیره‌سازی ابری، ثبت دامنه و دسترسی مدیریتی را کنترل می‌کند. سپس بررسی کنید آیا این‌ها حساب‌های مجاز جداگانه‌اند یا یک ورود مشترک که سه نفر آن را می‌دانند. ورودهای مشترک هر خروج را به بازنشانی گذرواژه‌ای تبدیل می‌کند که هیچ‌کس نمی‌تواند حسابرسی کند.
احراز هویت چندعاملی پشتیبانی‌شده را برای حساب‌های مهم فعال کنید و بنویسید وقتی یک کارمند یا داوطلب می‌رود چه اتفاقی می‌افتد. بنویسید دستگاه جانشین چگونه ثبت می‌شود، زیرا همان گام گذرواژه مشترک بعدی را می‌سازد. دسترسی‌ای که فقط داده می‌شود، دسترسی‌ای است که بی‌صدا انباشته می‌شود.
بازیابی را زمانی برنامه‌ریزی کنید که همه‌چیز هنوز کار می‌کند. بدانید کدام اطلاعات نسخه مستقل دارد، چه کسی می‌تواند آن را بازیابی کند، و تیم وقتی ایمیل معمول یا شبکه خصوصی‌اش در دسترس نیست چگونه به پشتیبانی می‌رسد. تیک‌زدنی که ادعا می‌کند پشتیبان‌ها فعال‌اند چیزی را ثابت نمی‌کند. بازیابی‌ای که کسی واقعاً انجام داده باشد چیزهای زیادی را ثابت می‌کند.
برای حساب‌های حیاتی یک مسئول دوم تعیین کنید. صندوق پستی شخصی یک داوطلب نباید تنها راه بازگشت به وب‌سایت خود سازمان باشد، و همان یک جمله از یک دسته کامل هفته‌های بسیار بد جلوگیری می‌کند.
به VPN یک وظیفه مشخص بدهید
اگر کارکنان باید به یک سرویس اداری خصوصی برسند، تونلی پشتیبانی‌شده راه معقولی برای ارائه آن است. فهرست دسترسی را محدود به افراد، دستگاه‌ها و سرویس‌هایی نگه دارید که به آن نیاز دارند، و احراز هویت خود سرویس را همان‌جا که هست بگذارید.
اگر تیم کاملاً از طریق برنامه‌های ابری خوب‌پیکربندی‌شده کار می‌کند، پیش از خرید یک تونل جدید مشخص کنید که آن واقعاً چه چیزی را تغییر می‌دهد. در بسیاری از سازمان‌های کوچک پاسخ صادقانه چیزی قابل اندازه‌گیری نیست، و همان پول اگر صرف بهداشت حساب‌ها و بازیابی آزمایش‌شده شود بیشتر کار می‌کند.
ابزارهای ناشناسی همان داستان در جهتی دیگرند. آن‌ها به روابط خاص با ناظران می‌پردازند، نه به هر ریسک سازمانی، و جانشین برخورد سنجیده با داده‌های حساس ذی‌نفعان نیستند.
جایی که کار شامل تهدیدهای هدفمند یا اطلاعات به‌طور غیرعادی حساس است، برای آن زمینه کمک واجد شرایط بیاورید. توصیه عمومی از یک سازمان همتا ارزیابی تهدید نیست.
نقشه یک‌صفحه‌ای چه دارد
با یک فهرست کوتاه تمام کنید نه سندی که هیچ‌کس نمی‌خواند: مهم‌ترین ریسک‌های حل‌نشده، اقدام انتخاب‌شده برای هر یک، یک مسئول، و تاریخ بازبینی بعدی.
یک صفحه کافی است چون برای بازنگری در نظر گرفته شده است. وقتی سرویس تازه‌ای پدید می‌آید، وقتی داوطلبی می‌آید یا می‌رود، و وقتی رابطه اشتراک داده تغییر می‌کند به آن بازگردید.
این برنامه امنیتی‌ای است که یک تیم کوچک واقعاً می‌تواند نگه دارد، و VPN جای خود را در آن با حل مشکلی که کسی نوشته است به دست می‌آورد.