VPN किसी छोटे गैर-लाभकारी संगठन के लिए सुरक्षा योजना नहीं है

छोटे संगठन एक टनल खरीदते हैं और मान लेते हैं कि वे अब सुरक्षित हो गए हैं। असल में होता यह है कि टनल एक यात्रा के एक हिस्से की रक्षा करता है, जबकि दानदाताओं की स्प्रेडशीट उस हर व्यक्ति के साथ साझा रहती है जिसके पास लिंक है, डोमेन उस कार्ड पर नवीनीकृत होता है जिसे किसी ने अपडेट नहीं किया, और केस फाइलें बहाल कर सकने वाला अकेला व्यक्ति विश्राम पर है। VPN एक उपयोगी नियंत्रण है। यह योजना नहीं है, और हो भी नहीं सकता।

औजार सबसे अंत में क्यों आता है

टनल एक उपकरण और दूसरे छोर के नेटवर्क के बीच यातायात की रक्षा करता है। यह वास्तविक और विशिष्ट सुरक्षा है, और यह कुछ नहीं कहती कि साझा फ़ोल्डर कौन खोल सकता है, साइन-इन पेज असली था या नहीं, या पिछले महीने का डेटा अब भी मौजूद है या नहीं।

छोटे संगठनों में ज़्यादातर नुकसान उन्हीं दूसरे दरवाज़ों से आते हैं। खाता हड़पना, ज़रूरत से ज़्यादा साझा किया गया दस्तावेज़ और बहाल न हो सकने वाला लैपटॉप तीन विफलताएँ हैं जिन्हें काम करने वाला VPN छूता भी नहीं। इनमें से किसी के लिए किसी को टनल तोड़ने की ज़रूरत नहीं।

औजार से शुरू करना बजट की बातचीत को भी उलट देता है। अंत में आप ऐसी चीज़ के लिए भुगतान करते हैं जो उस समस्या को हल करती है जिसे आपने नाम नहीं दिया, जबकि बेरौनक खाली जगहें खुली रहती हैं क्योंकि किसी ने उन्हें लिखा नहीं।

तीन वास्तविक कार्यप्रवाहों से शुरू करें

खतरों की सूची नहीं, बल्कि वह काम चुनें जो संगठन वास्तव में करता है। तीन कार्यप्रवाह पर्याप्त हैं; दस ऐसा दस्तावेज़ बनाते हैं जिसे कोई पूरा नहीं करता। दानदाताओं की सूची, संवेदनशील केस दस्तावेज़ों का एक सेट और एक सार्वजनिक वेबसाइट तीन अलग समस्याएँ हैं, तीन अलग विफलता ढंगों के साथ।

हर एक के लिए लिखें कि क्या मूल्यवान है, किसे वैध रूप से पहुँच चाहिए, कौन इसका दुरुपयोग कर सकता है, और अगर यह उजागर हो, बदल दिया जाए या बस गायब हो जाए तो परिणाम क्या होगा। अंतिम सवाल वही है जिसे टीमें छोड़ देती हैं और जो सबसे उपयोगी कदम देता है।

सिर्फ़ संगठन के उपकरण नहीं, उन लोगों को भी शामिल करें जिनकी जानकारी उन रिकॉर्ड में है। दानदाताओं की सूची दूसरे लोगों के विवरण की सूची है, और यह ढाँचा बदल देता है कि कितनी सावधानी अनुपातिक है। दानदाताओं की सूची दूसरे लोगों के विवरण की सूची है, और यह ढाँचा बदल देता है कि कितनी सावधानी अनुपातिक है।

EFF की योजना मार्गदर्शिका इसे संपत्तियों, विरोधियों, संभावना, परिणामों, प्रयास और सहयोगियों के इर्द-गिर्द ढाँचे में रखती है। छोटी टीम के लिए इसे उपयोगी बनाता है यह कि यह सब कुछ सुरक्षित रहने का वादा करने के बजाय यह चुनने को कहती है कि सीमित ध्यान कहाँ जाए।

खाते और बहाली का रास्ता

पहचानें कि ईमेल, क्लाउड स्टोरेज, डोमेन पंजीकरण और प्रशासनिक पहुँच को कौन नियंत्रित करता है। फिर जाँचें कि ये अलग अधिकृत खाते हैं या एक साझा लॉगिन जिसे तीन लोग जानते हैं। साझा लॉगिन हर विदाई को ऐसे पासवर्ड रीसेट में बदल देते हैं जिसका कोई अंकेक्षण नहीं कर सकता।

महत्वपूर्ण खातों के लिए समर्थित बहु-कारक प्रमाणीकरण चालू करें, और लिखें कि जब कोई कर्मचारी या स्वयंसेवक जाता है तो क्या होता है। यह भी शामिल करें कि प्रतिस्थापन उपकरण कैसे नामांकित होता है, क्योंकि वही कदम अगला साझा पासवर्ड बनाता है। जो पहुँच केवल दी जाती है, वह चुपचाप जमा होती पहुँच है।

बहाली की योजना तब बनाएँ जब सब कुछ अब भी काम कर रहा हो। जानें कि किस जानकारी की स्वतंत्र प्रति है, उसे कौन बहाल कर सकता है, और जब टीम का सामान्य ईमेल या निजी नेटवर्क उपलब्ध न हो तो वह सहायता तक कैसे पहुँचती है। यह दावा करने वाला चेकबॉक्स कि बैकअप चालू हैं, कुछ साबित नहीं करता। किसी ने वास्तव में की हुई बहाली बहुत कुछ साबित करती है।

महत्वपूर्ण खातों के लिए दूसरा मालिक नामित करें। स्वयंसेवक का निजी मेलबॉक्स संगठन की अपनी वेबसाइट पर लौटने का एकमात्र रास्ता नहीं होना चाहिए, और वह एक वाक्य बहुत बुरे हफ्तों की पूरी श्रेणी रोक देता है।

VPN को एक विशिष्ट काम दें

अगर कर्मचारियों को किसी निजी कार्यालय सेवा तक पहुँचना है, तो समर्थित टनल वह देने का उचित तरीका है। पहुँच सूची को उन्हीं लोगों, उपकरणों और सेवाओं तक सीमित रखें जिन्हें इसकी ज़रूरत है, और सेवा का अपना प्रमाणीकरण जहाँ है वहीं रहने दें।

अगर टीम पूरी तरह से अच्छी तरह कॉन्फ़िगर किए गए क्लाउड अनुप्रयोगों से काम करती है, तो खरीदने से पहले तय करें कि नया टनल दरअसल क्या बदलेगा। कई छोटे संगठनों में ईमानदार जवाब है कुछ भी मापने योग्य नहीं, और खाता स्वच्छता तथा परीक्षित बहाली पर खर्च किया गया वही पैसा ज़्यादा करेगा।

गुमनामी के औजार दूसरी दिशा में वही कहानी हैं। वे कुछ विशेष प्रेक्षक संबंधों को संबोधित करते हैं, हर संगठनात्मक जोखिम को नहीं, और वे संवेदनशील लाभार्थी डेटा के सावधान संचालन का विकल्प नहीं हैं।

जहाँ काम में लक्षित खतरे या असामान्य रूप से संवेदनशील जानकारी शामिल हो, वहाँ उस संदर्भ के लिए योग्य सहायता लाएँ। किसी सहयोगी संगठन की सामान्य सिफ़ारिश खतरे का आकलन नहीं है।

एक पृष्ठ की योजना में क्या है

किसी ऐसे दस्तावेज़ के बजाय छोटी सूची के साथ समाप्त करें जिसे कोई नहीं पढ़ता: सबसे गंभीर अनसुलझे जोखिम, हर एक के लिए चुना गया कदम, एक मालिक, और अगली समीक्षा की तारीख।

एक पृष्ठ पर्याप्त है क्योंकि इसे संशोधित होने के लिए बनाया गया है। जब नई सेवा आए, जब कोई स्वयंसेवक जुड़े या जाए, और जब डेटा साझा करने का संबंध बदले, तब इस पर लौटें।

यह ऐसा सुरक्षा कार्यक्रम है जिसे एक छोटी टीम वास्तव में बनाए रख सकती है, और VPN उसमें अपनी जगह किसी के द्वारा लिखी गई समस्या को हल करके कमाता है।