VPN ei ole pienen yleishyödyllisen yhdistyksen turvasuunnitelma

Pienet organisaatiot ostavat tunnelin ja olettavat olevansa nyt turvassa. Tosiasiassa tunneli suojaa yhden matkan yhtä osuutta, kun lahjoittajien taulukko pysyy jaettuna kaikille, joilla on linkki, verkkotunnus uusitaan kortilla, jota kukaan ei päivittänyt, ja ainoa ihminen, joka voi palauttaa tapauskansiot, on tauolla. VPN on hyödyllinen hallintakeino. Se ei ole suunnitelma eikä voi olla.

Miksi työkalu tulee viimeisenä

Tunneli suojaa liikennettä laitteen ja toisessa päässä olevan verkon välillä. Se on todellinen ja täsmällinen suoja, eikä se kerro mitään siitä, kuka saa avata jaetun kansion, oliko kirjautumissivu aito tai ovatko viime kuun tiedot vielä olemassa.

Useimmat pienorganisaatioiden menetykset tulevat noiden muiden ovien kautta. Tilin kaappaus, liikaa jaettu asiakirja ja palauttamaton kannettava ovat kolme epäonnistumista, joihin toimiva VPN ei koske. Mikään niistä ei vaadi, että joku murtaa tunnelin.

Työkalusta aloittaminen kääntää myös budjettikeskustelun. Loppujen lopuksi maksat jostakin, joka ratkaisee ongelman, jota et nimennyt, kun taas epäglamouröösit aukot pysyvät avoimina, koska kukaan ei kirjoittanut niitä muistiin.

Aloita kolmesta todellisesta työnkulusta

Valitse työ, jota organisaatio todella tekee, älä uhkaluetteloa. Kolme työnkulkua riittää; kymmenen tuottaa asiakirjan, jota kukaan ei viimeistele. Lahjoittajalista, joukko arkaluonteisia tapausasiakirjoja ja julkinen verkkosivusto ovat kolme eri ongelmaa, joilla on kolme eri epäonnistumistapaa.

Kirjoita jokaisesta ylös, mikä on arvokasta, kuka tarvitsee käyttöoikeuden laillisesti, kuka voisi käyttää sitä väärin ja mikä seuraus olisi, jos se paljastuisi, muuttuisi tai yksinkertaisesti katoaisi. Viimeinen kysymys on se, jonka tiimit ohittavat, ja se, joka tuottaa hyödyllisimmät toimet.

Sisällytä ihmiset, joiden tiedot näissä rekistereissä esiintyvät, eivät vain organisaation laitteet. Lahjoittajalista on luettelo muiden ihmisten tiedoista, ja tämä kehys muuttaa sitä, kuinka paljon huolellisuutta on oikeasuhteista. Lahjoittajalista on luettelo muiden ihmisten tiedoista, ja tämä kehys muuttaa sitä, kuinka paljon huolellisuutta on oikeasuhteista.

EFF:n suunnitteluopas jäsentää tämän omaisuuden, vastustajien, todennäköisyyden, seurausten, vaivan ja liittolaisten ympärille. Pienelle tiimille sen käyttökelpoiseksi tekee se, että se pyytää valitsemaan, mihin rajallinen huomio menee, sen sijaan että lupaisi kaiken olevan turvassa.

Tilit ja palautumisen polku

Selvitä, kuka hallitsee sähköpostia, pilvitallennusta, verkkotunnuksen rekisteröintiä ja hallinnollista käyttöoikeutta. Tarkista sitten, ovatko ne erillisiä valtuutettuja tilejä vai yksi jaettu kirjautuminen, jonka kolme ihmistä tuntee. Jaetut kirjautumiset muuttavat jokaisen lähdön salasanan nollaukseksi, jota kukaan ei voi auditoida.

Ota käyttöön tuettu monivaiheinen todennus tileille, joilla on merkitystä, ja kirjoita muistiin, mitä tapahtuu, kun työntekijä tai vapaaehtoinen lähtee. Sisällytä se, miten korvaava laite rekisteröidään, koska juuri se vaihe luo seuraavan yhteisen salasanan. Käyttöoikeus, joka vain myönnetään, on käyttöoikeus, joka hiljaa kertyy.

Suunnittele palautuminen, kun kaikki vielä toimii. Tiedä, millä tiedoilla on riippumaton kopio, kuka voi palauttaa sen ja miten tiimi tavoittaa tuen, kun sen tavallinen sähköposti tai yksityinen verkko ei ole käytettävissä. Valintaruutu, joka väittää varmuuskopioiden olevan käytössä, ei todista mitään. Palautus, jonka joku on todella tehnyt, todistaa melko paljon.

Nimeä kriittisille tileille toinen vastuuhenkilö. Vapaaehtoisen henkilökohtainen postilaatikko ei saa olla ainoa tie takaisin organisaation omaan verkkosivustoon, ja tuo yksi lause estää kokonaisen erittäin huonojen viikkojen luokan.

Anna VPN:lle yksi täsmällinen tehtävä

Jos henkilöstön on päästävä yksityiseen toimistopalveluun, tuettu tunneli on kohtuullinen tapa tarjota se. Pidä käyttöoikeusluettelo niissä ihmisissä, laitteissa ja palveluissa, jotka sitä tarvitsevat, ja jätä palvelun oma todennus paikoilleen.

Jos tiimi työskentelee kokonaan hyvin määritettyjen pilvisovellusten kautta, selvitä, mitä uusi tunneli todella muuttaisi ennen sellaisen ostamista. Monissa pienissä organisaatioissa rehellinen vastaus on ei mitään mitattavaa, ja sama raha tilien hygieniaan ja testattuun palautukseen käytettynä tekisi enemmän.

Anonymiteettityökalut ovat sama tarina toiseen suuntaan. Ne käsittelevät tiettyjä havainnoijasuhteita, eivät kaikkia organisatorisia riskejä, eivätkä ne korvaa arkaluontoisten edunsaajatietojen huolellista käsittelyä.

Kun työhön liittyy kohdennettuja uhkia tai poikkeuksellisen arkaluonteisia tietoja, tuo siihen kontekstiin pätevää apua. Vertaisorganisaation yleinen suositus ei ole uhka-arvio.

Mitä yhden sivun suunnitelma sisältää

Lopeta lyhyeen luetteloon asiakirjan sijaan, jota kukaan ei lue: merkittävimmät ratkaisemattomat riskit, kullekin valittu toimi, vastuuhenkilö ja seuraavan tarkistuksen päivämäärä.

Yksi sivu riittää, koska se on tarkoitettu päivitettäväksi. Palaa siihen, kun uusi palvelu ilmestyy, kun vapaaehtoinen liittyy tai lähtee ja kun tiedonjakosuhde muuttuu.

Se on turvaohjelma, jota pieni tiimi voi todella ylläpitää, ja VPN ansaitsee paikkansa siinä ratkaisemalla ongelman, jonka joku kirjoitti muistiin.