Un VPN n'est pas un plan de sécurité pour une petite association

Les petites organisations achètent un tunnel et supposent qu'elles sont désormais sûres. Ce qui se passe en réalité, c'est que le tunnel protège un tronçon d'un seul trajet tandis que le tableur des donateurs reste partagé avec quiconque possède le lien, que le domaine se renouvelle avec une carte que personne n'a mise à jour et que la seule personne capable de restaurer les dossiers est en pause. Un VPN est un contrôle utile. Ce n'est pas un plan, et il ne peut pas l'être.

Pourquoi l'outil arrive en dernier

Un tunnel protège le trafic entre un appareil et le réseau situé à l'autre bout. C'est une protection réelle et précise, et elle ne dit rien sur qui peut ouvrir un dossier partagé, si une page de connexion était authentique ou si les données du mois dernier existent encore.

La plupart des pertes dans les petites organisations arrivent par ces autres portes. Le détournement d'un compte, un document trop partagé et un ordinateur portable irrécupérable sont trois défaillances qu'un VPN fonctionnel ne touche pas. Aucune d'elles n'exige que quelqu'un casse le tunnel.

Commencer par l'outil inverse aussi la conversation budgétaire. Vous finissez par payer pour quelque chose qui résout un problème que vous n'avez pas nommé, tandis que les lacunes peu glamour restent ouvertes parce que personne ne les a écrites.

Commencez par trois flux de travail réels

Choisissez le travail que l'organisation fait réellement plutôt qu'un catalogue de menaces. Trois flux de travail suffisent ; dix produisent un document que personne ne termine. Une liste de donateurs, un ensemble de documents sensibles de dossiers et un site web public sont trois problèmes différents avec trois modes de défaillance différents.

Pour chacun, notez ce qui a de la valeur, qui a légitimement besoin d'y accéder, qui pourrait en faire un mauvais usage et quelle serait la conséquence si l'information était divulguée, modifiée ou simplement perdue. La dernière question est celle que les équipes sautent et celle qui produit les actions les plus utiles.

Incluez les personnes dont les informations figurent dans ces registres, pas seulement le matériel de l'organisation. Une liste de donateurs est une liste de données d'autres personnes, et ce cadrage change la quantité de soin proportionnée. Une liste de donateurs est une liste de données d'autres personnes, et ce cadrage change la quantité de soin proportionnée.

Le guide de planification de l'EFF structure cela autour des actifs, des adversaires, de la probabilité, des conséquences, de l'effort et des alliés. Ce qui le rend utilisable pour une petite équipe, c'est qu'il vous demande de choisir où va l'attention limitée au lieu de promettre que tout sera sûr.

Comptes et chemin de récupération

Identifiez qui contrôle le courriel, le stockage en nuage, l'enregistrement du domaine et l'accès administratif. Vérifiez ensuite s'il s'agit de comptes autorisés distincts ou d'une connexion partagée que trois personnes connaissent. Les connexions partagées transforment chaque départ en réinitialisation de mot de passe que personne ne peut auditer.

Activez l'authentification multifacteur prise en charge pour les comptes qui comptent, et notez ce qui se passe quand un membre du personnel ou un bénévole part. Incluez la manière dont un appareil de remplacement est enrôlé, car c'est cette étape qui crée le prochain mot de passe partagé. Un accès qui n'est jamais qu'accordé est un accès qui s'accumule en silence.

Planifiez la récupération pendant que tout fonctionne encore. Sachez quelle information a une copie indépendante, qui peut la restaurer et comment l'équipe joint le support quand son courriel habituel ou son réseau privé est indisponible. Une case à cocher affirmant que les sauvegardes sont activées ne prouve rien. Une restauration que quelqu'un a réellement effectuée prouve beaucoup.

Nommez un second responsable pour les comptes critiques. La boîte personnelle d'un bénévole ne doit pas être le seul chemin de retour vers le site web de l'organisation elle-même, et cette seule phrase évite une catégorie entière de très mauvaises semaines.

Donnez au VPN une tâche précise

Si le personnel doit joindre un service bureautique privé, un tunnel pris en charge est une façon raisonnable de le fournir. Limitez la liste d'accès aux personnes, appareils et services qui en ont besoin, et laissez l'authentification propre au service là où elle est.

Si l'équipe travaille entièrement via des applications en nuage bien configurées, établissez ce qu'un nouveau tunnel changerait réellement avant d'en acheter un. Dans beaucoup de petites organisations, la réponse honnête est rien de mesurable, et le même argent dépensé en hygiène des comptes et en restauration testée ferait davantage.

Les outils d'anonymat sont la même histoire dans une autre direction. Ils traitent des relations d'observateur particulières, pas tous les risques organisationnels, et ils ne remplacent pas un traitement soigneux des données sensibles des bénéficiaires.

Lorsque le travail implique des menaces ciblées ou des informations inhabituellement sensibles, faites appel à une aide qualifiée pour ce contexte. Une recommandation générique d'une organisation pair n'est pas une évaluation des menaces.

Ce que contient le plan d'une page

Terminez par une liste courte plutôt qu'un document que personne ne lit : les risques non résolus les plus lourds, l'action choisie pour chacun, un responsable et la date de la prochaine révision.

Une page suffit parce qu'elle est faite pour être révisée. Revenez-y quand un nouveau service apparaît, quand un bénévole arrive ou part et quand une relation de partage de données change.

Voilà un programme de sécurité qu'une petite équipe peut réellement maintenir, et le VPN y gagne sa place en résolvant un problème que quelqu'un a écrit.