A VPN nem biztonsági terv egy kis civil szervezet számára

A kis szervezetek alagutat vásárolnak, és azt feltételezik, hogy mostantól biztonságban vannak. Valójában az alagút egyetlen utazás egyik szakaszát védi, miközben az adományozói táblázat továbbra is megosztott mindenkivel, akinél a hivatkozás van, a domain olyan kártyán újul meg, amelyet senki sem frissített, és az egyetlen ember, aki helyre tudná állítani az ügyiratokat, éppen szüneten van. A VPN hasznos kontroll. Nem terv, és nem is lehet az.

Miért utolsóként jön az eszköz

Az alagút az eszköz és a túloldali hálózat közötti forgalmat védi. Ez valódi és konkrét védelem, és semmit sem mond arról, ki nyithat meg egy megosztott mappát, valódi volt-e egy bejelentkező oldal, vagy léteznek-e még a múlt havi adatok.

A kis szervezeteknél a legtöbb veszteség azokon a másik ajtókon érkezik. A fiókátvétel, a túl széles körben megosztott dokumentum és a helyreállíthatatlan laptop három olyan hiba, amelyet egy működő VPN nem érint. Egyik sem igényli, hogy valaki feltörje az alagutat.

Az eszközzel kezdeni a költségvetési beszélgetést is megfordítja. Végül olyasmiért fizet, ami egy meg nem nevezett problémát old meg, miközben a nem látványos hiányosságok nyitva maradnak, mert senki sem írta le őket.

Kezdje három valódi munkafolyamattal

Azt a munkát válassza, amelyet a szervezet valóban végez, ne fenyegetéskatalógust. Három munkafolyamat elegendő; tíz olyan dokumentumot ad, amelyet senki sem fejez be. Az adományozói lista, az érzékeny ügyiratok együttese és egy nyilvános weboldal három különböző probléma, három különböző meghibásodási móddal.

Mindegyikhez írja le, mi értékes, kinek van jogszerű hozzáférése, ki élhet vissza vele, és mi lenne a következmény, ha nyilvánosságra kerülne, megváltoztatnák vagy egyszerűen eltűnne. Az utolsó kérdés az, amelyet a csapatok kihagynak, és amely a leghasznosabb intézkedéseket hozza.

Azokat az embereket is vegye bele, akiknek az adatai ezekben a nyilvántartásokban szerepelnek, nem csak a szervezet felszerelését. Az adományozói lista más emberek adatainak listája, és ez a keret megváltoztatja, mennyi gondosság arányos. Az adományozói lista más emberek adatainak listája, és ez a keret megváltoztatja, mennyi gondosság arányos.

Az EFF tervezési útmutatója eszközök, ellenfelek, valószínűség, következmények, erőfeszítés és szövetségesek köré szervezi ezt. Kis csapat számára az teszi használhatóvá, hogy arra kér, válassza ki, hová kerül a korlátozott figyelem, ahelyett hogy azt ígérné, minden biztonságban lesz.

Fiókok és a helyreállítás útja

Állapítsa meg, ki irányítja az e-mailt, a felhőtárolást, a domainregisztrációt és az adminisztratív hozzáférést. Ezután ellenőrizze, hogy ezek külön jogosított fiókok-e, vagy egyetlen megosztott bejelentkezés, amelyet hárman ismernek. A megosztott bejelentkezések minden távozást olyan jelszó-visszaállítássá alakítanak, amelyet senki sem tud auditálni.

Kapcsolja be a támogatott többfaktoros hitelesítést azoknál a fiókoknál, amelyek számítanak, és írja le, mi történik, amikor egy munkatárs vagy önkéntes távozik. Azt is rögzítse, hogyan regisztrálnak egy csereeszközt, mert ez a lépés hozza létre a következő közös jelszót. A hozzáférés, amelyet csak adnak, csendben felhalmozódó hozzáférés.

Tervezze meg a helyreállítást, amíg minden működik. Tudja, melyik adatnak van független másolata, ki tudja visszaállítani, és hogyan ér el a csapat támogatást, amikor a szokásos e-mailje vagy magánhálózata nem elérhető. Egy jelölőnégyzet, amely azt állítja, hogy a biztonsági mentések be vannak kapcsolva, semmit sem bizonyít. Egy helyreállítás, amelyet valaki ténylegesen végrehajtott, sokat bizonyít.

Nevezzen meg egy második felelőst a kritikus fiókokhoz. Egy önkéntes személyes postafiókja nem lehet az egyetlen út vissza a szervezet saját weboldalára, és ez az egyetlen mondat megelőzi a nagyon rossz hetek egy egész kategóriáját.

Adjon a VPN-nek egy konkrét feladatot

Ha a munkatársaknak el kell érniük egy privát irodai szolgáltatást, a támogatott alagút ésszerű módja ennek biztosítására. Tartsa a hozzáférési listát azoknál az embereknél, eszközöknél és szolgáltatásoknál, amelyeknek szükségük van rá, és hagyja a szolgáltatás saját hitelesítését ott, ahol van.

Ha a csapat teljes egészében jól konfigurált felhőalkalmazásokon keresztül dolgozik, állapítsa meg, min változtatna valójában egy új alagút, mielőtt venne egyet. Sok kis szervezetnél az őszinte válasz semmi mérhető, és ugyanaz a pénz fiókhigiéniára és tesztelt helyreállításra költve többet érne el.

Az anonimitási eszközök ugyanaz a történet más irányban. Bizonyos megfigyelői viszonyokat kezelnek, nem minden szervezeti kockázatot, és nem helyettesítik a kedvezményezettek érzékeny adatainak gondos kezelését.

Ahol a munka célzott fenyegetéseket vagy szokatlanul érzékeny információkat érint, hozzon be szakképzett segítséget ahhoz a kontextushoz. Egy társszervezet általános ajánlása nem fenyegetésértékelés.

Mit tartalmaz az egylapos terv

Rövid listával fejezze be a dokumentum helyett, amelyet senki sem olvas: a legjelentősebb megoldatlan kockázatok, a mindegyikhez választott intézkedés, egy felelős és a következő felülvizsgálat dátuma.

Egy oldal elég, mert felülvizsgálatra szánják. Térjen vissza rá, amikor új szolgáltatás jelenik meg, amikor egy önkéntes csatlakozik vagy távozik, és amikor az adatmegosztási viszony megváltozik.

Ez egy biztonsági program, amelyet egy kis csapat valóban fenn tud tartani, és a VPN azáltal érdemli ki benne a helyét, hogy megold egy problémát, amelyet valaki leírt.