VPN אינו תוכנית אבטחה לעמותה קטנה

ארגונים קטנים קונים מנהרה ומניחים שכבר הפכו מאובטחים. מה שקורה בפועל הוא שהמנהרה מגנה על קטע אחד של מסע אחד, בעוד גיליון התורמים נשאר משותף עם כל מי שיש לו הקישור, הדומיין מתחדש בכרטיס שאיש לא עדכן, והאדם היחיד שיכול לשחזר את תיקי המקרים נמצא בהפסקה. VPN הוא בקרה שימושית. הוא אינו תוכנית, ואינו יכול להיות כזו.

למה הכלי מגיע אחרון

מנהרה מגנה על תעבורה בין מכשיר לרשת שבצד השני. זו הגנה אמיתית וספציפית, והיא לא אומרת דבר על מי רשאי לפתוח תיקייה משותפת, אם דף ההתחברות היה אמיתי, או אם הנתונים של החודש שעבר עדיין קיימים.

רוב ההפסדים בארגונים קטנים מגיעים דרך הדלתות האחרות האלה. השתלטות על חשבון, מסמך ששותף יותר מדי ומחשב נייד שלא ניתן לשחזר הם שלושה כשלים ש-VPN עובד אינו נוגע בהם. אף אחד מהם לא דורש שמישהו ישבור את המנהרה.

התחלה בכלי גם הופכת את שיחת התקציב. בסוף אתם משלמים על משהו שפותר בעיה שלא נתתם לה שם, בעוד הפערים הלא זוהרים נשארים פתוחים כי איש לא כתב אותם.

התחילו בשלושה תהליכי עבודה אמיתיים

בחרו את העבודה שהארגון באמת עושה ולא קטלוג איומים. שלושה תהליכי עבודה מספיקים; עשרה מייצרים מסמך שאיש לא מסיים. רשימת תורמים, מערכת מסמכי מקרים רגישים ואתר ציבורי הם שלוש בעיות שונות עם שלושה אופני כשל שונים.

לכל אחד מהם כתבו מה בעל ערך, מי זקוק לגישה כדין, מי עלול לעשות בה שימוש לרעה, ומה תהיה התוצאה אם המידע ייחשף, ישתנה או פשוט ייעלם. השאלה האחרונה היא זו שצוותים מדלגים עליה וזו שמייצרת את הפעולות המועילות ביותר.

כללו את האנשים שמידע שלהם מופיע ברשומות האלה, לא רק את הציוד של הארגון. רשימת תורמים היא רשימה של פרטים של אנשים אחרים, והמסגור הזה משנה כמה זהירות פרופורציונלית. רשימת תורמים היא רשימה של פרטים של אנשים אחרים, והמסגור הזה משנה כמה זהירות פרופורציונלית.

מדריך התכנון של EFF בונה זאת סביב נכסים, יריבים, סבירות, השלכות, מאמץ ובעלי ברית. מה שעושה אותו שמיש לצוות קטן הוא שהוא מבקש מכם לבחור לאן תלך תשומת הלב המוגבלת במקום להבטיח שהכול יהיה בטוח.

חשבונות ומסלול השחזור

זהו מי שולט בדואר האלקטרוני, באחסון בענן, ברישום הדומיין ובגישה הניהולית. אחר כך בדקו אם אלה חשבונות מורשים נפרדים או התחברות משותפת אחת ששלושה אנשים מכירים. התחברות משותפת הופכת כל עזיבה לאיפוס סיסמה שאיש אינו יכול לבקר.

הפעילו אימות רב-גורמי נתמך לחשבונות החשובים, ורשמו מה קורה כאשר עובד או מתנדב עוזב. כללו כיצד נרשם מכשיר חלופי, כי זה השלב שיוצר את הסיסמה המשותפת הבאה. גישה שרק ניתנת היא גישה שמצברת בשקט.

תכננו שחזור כשהכול עדיין עובד. דעו לאיזה מידע יש עותק עצמאי, מי יכול לשחזר אותו, ואיך הצוות מגיע לתמיכה כשהדואר הרגיל או הרשת הפרטית שלו אינם זמינים. תיבת סימון שמצהירה שהגיבויים מופעלים אינה מוכיחה דבר. שחזור שמישהו ביצע בפועל מוכיח לא מעט.

מנו בעלים שני לחשבונות קריטיים. תיבת הדואר האישית של מתנדב לא צריכה להיות הדרך היחידה חזרה לאתר האינטרנט של הארגון עצמו, ומשפט אחד זה מונע קטגוריה שלמה של שבועות גרועים מאוד.

תנו ל-VPN משימה אחת ספציפית

אם העובדים צריכים להגיע לשירות משרדי פרטי, מנהרה נתמכת היא דרך סבירה לספק זאת. שמרו את רשימת הגישה על האנשים, המכשירים והשירותים שזקוקים לה, והשאירו את האימות של השירות עצמו במקומו.

אם הצוות עובד כולו באמצעות יישומי ענן מוגדרים היטב, קבעו מה מנהרה חדשה באמת תשנה לפני שקונים אחת. בארגונים קטנים רבים התשובה הכנה היא שום דבר מדיד, ואותו כסף שהושקע בהיגיינת חשבונות ובשחזור נבדק היה עושה יותר.

כלי אנונימיות הם אותו סיפור בכיוון אחר. הם מטפלים ביחסי צופה מסוימים, לא בכל סיכון ארגוני, והם אינם תחליף לטיפול זהיר בנתונים רגישים של מוטבים.

כאשר העבודה כרוכה באיומים ממוקדים או במידע רגיש במיוחד, הביאו עזרה מוסמכת לאותו הקשר. המלצה כללית מארגון עמית אינה הערכת איומים.

מה כוללת התוכנית של עמוד אחד

סיימו ברשימה קצרה ולא במסמך שאיש לא קורא: הסיכונים הבלתי פתורים המשמעותיים ביותר, הפעולה שנבחרה לכל אחד, בעלים, ותאריך הביקורת הבא.

עמוד אחד מספיק כי הוא נועד להיבדק מחדש. חזרו אליו כשיופיע שירות חדש, כשמתנדב מצטרף או עוזב, וכשמערכת יחסי שיתוף מידע משתנה.

זו תוכנית אבטחה שצוות קטן באמת יכול לתחזק, וה-VPN זוכה במקומו בתוכה בכך שהוא פותר בעיה שמישהו כתב.