Unha VPN non é un plan de seguridade para unha pequena entidade sen ánimo de lucro

As organizacións pequenas compran un túnel e dan por feito que xa son seguras. O que ocorre en realidade é que o túnel protexe un tramo dunha soa viaxe mentres a folla de cálculo de doantes segue compartida con calquera que teña a ligazón, o dominio renovase cunha tarxeta que ninguén actualizou e a única persoa capaz de restaurar os expedientes está de descanso. Unha VPN é un control útil. Non é un plan, e non pode selo.

Por que a ferramenta chega ao final

Un túnel protexe o tráfico entre un dispositivo e a rede do outro extremo. É unha protección real e concreta, e non di nada sobre quen pode abrir un cartafol compartido, se unha páxina de inicio de sesión era auténtica ou se os datos do mes pasado aínda existen.

A maioría das perdas en organizacións pequenas chegan por esas outras portas. O roubo dunha conta, un documento compartido en exceso e un portátil irrecuperable son tres fallos que unha VPN en funcionamento non toca. Ningún deles esixe que ninguén rompa o túnel.

Comezar pola ferramenta tamén inverte a conversa orzamentaria. Acaba pagando por algo que resolve un problema que non nomeou, mentres os ocos pouco atractivos seguen abertos porque ninguén os escribiu.

Comece con tres fluxos de traballo reais

Escolla o traballo que a entidade fai de verdade en lugar dun catálogo de ameazas. Tres fluxos de traballo abondan; dez producen un documento que ninguén remata. Unha lista de doantes, un conxunto de documentos sensibles de expedientes e un sitio web público son tres problemas distintos con tres modos de fallo distintos.

Para cada un, anote que é valioso, quen necesita acceso lexitimamente, quen podería facer un mal uso e cal sería a consecuencia se se divulgase, se se alterase ou se simplemente desaparecese. A última pregunta é a que os equipos saltan e a que produce as accións máis útiles.

Inclúa as persoas cuxos datos aparecen neses rexistros, non só o equipamento da entidade. Unha lista de doantes é unha lista de datos doutras persoas, e ese enfoque cambia canto coidado é proporcionado. Unha lista de doantes é unha lista de datos doutras persoas, e ese enfoque cambia canto coidado é proporcionado.

A guía de planificación da EFF estrutura isto arredor de activos, adversarios, probabilidade, consecuencias, esforzo e aliados. O que a fai utilizábel para un equipo pequeno é que lle pide escoller a onde vai a atención limitada en lugar de prometer que todo estará a salvo.

Contas e o camiño de recuperación

Identifique quen controla o correo, o almacenamento na nube, o rexistro do dominio e o acceso administrativo. Despois comprobe se son contas autorizadas separadas ou un único inicio de sesión compartido que tres persoas coñecen. Os inicios de sesión compartidos converten cada saída nun restablecemento de contrasinal que ninguén pode auditar.

Active a autenticación multifactor compatible coas contas que importan e anote que ocorre cando se vai un membro do persoal ou un voluntario. Inclúa como se inscribe un dispositivo de substitución, porque ese é o paso que crea o seguinte contrasinal compartido. O acceso que só se concede é acceso que se acumula en silencio.

Planifique a recuperación mentres todo funciona aínda. Saiba que información ten unha copia independente, quen pode restaurala e como chega o equipo ao soporte cando o seu correo habitual ou a súa rede privada non están dispoñibles. Unha caixa que afirma que as copias de seguridade están activadas non demostra nada. Unha restauración que alguén fixo de verdade demostra bastante.

Nomee un segundo responsable para as contas críticas. O buzón persoal dun voluntario non debe ser a única vía de volta ao sitio web da propia entidade, e esa soa frase evita unha categoría enteira de semanas moi malas.

Dea á VPN unha tarefa concreta

Se o persoal necesita chegar a un servizo privado de oficina, un túnel compatible é unha forma razoábel de o proporcionar. Manteña a lista de acceso nas persoas, dispositivos e servizos que o necesitan, e deixe a autenticación propia do servizo onde está.

Se o equipo traballa enteiramente mediante aplicacións na nube ben configuradas, estableza que cambiaría realmente un túnel novo antes de mercar un. En moitas entidades pequenas a resposta honesta é nada medíbel, e o mesmo diñeiro gastado en hixiene de contas e nunha restauración probada faría máis.

As ferramentas de anonimato son a mesma historia noutra dirección. Abordan relacións concretas con observadores, non todos os riscos organizativos, e non substitúen o trato coidadoso de datos sensibles de beneficiarios.

Cando o traballo implica ameazas dirixidas ou información inusualmente sensible, incorpore axuda cualificada para ese contexto. Unha recomendación xenérica dunha entidade colexa non é unha avaliación de ameazas.

Que contén o plan dunha páxina

Remate cunha lista curta en lugar dun documento que ninguén le: os riscos sen resolver máis importantes, a acción escollida para cada un, un responsable e a data da próxima revisión.

Unha páxina abonda porque está pensada para revisarse. Volva a ela cando apareza un servizo novo, cando un voluntario se incorpore ou marche e cando cambie unha relación de intercambio de datos.

Ese é un programa de seguridade que un equipo pequeno pode manter de verdade, e a VPN gaña o seu lugar dentro resolvendo un problema que alguén escribiu.