VPN bukan rencana keamanan untuk organisasi nirlaba kecil

Organisasi kecil membeli tunnel dan menganggap mereka kini aman. Yang sebenarnya terjadi adalah tunnel melindungi satu bagian dari satu perjalanan, sementara spreadsheet donatur tetap dibagikan kepada siapa pun yang punya tautannya, domain diperpanjang dengan kartu yang tidak diperbarui siapa pun, dan satu-satunya orang yang bisa memulihkan berkas kasus sedang istirahat. VPN adalah kontrol yang berguna. Itu bukan rencana, dan tidak bisa menjadi rencana.

Mengapa alat datang terakhir

Tunnel melindungi lalu lintas antara perangkat dan jaringan di ujung lain. Itu perlindungan yang nyata dan spesifik, dan tidak mengatakan apa pun tentang siapa yang boleh membuka folder bersama, apakah halaman masuk asli, atau apakah data bulan lalu masih ada.

Sebagian besar kerugian di organisasi kecil datang lewat pintu-pintu lain itu. Pengambilalihan akun, dokumen yang dibagikan terlalu luas, dan laptop yang tidak dapat dipulihkan adalah tiga kegagalan yang tidak disentuh VPN yang berfungsi. Tak satu pun mengharuskan seseorang membobol tunnel.

Memulai dengan alat juga membalik percakapan anggaran. Akhirnya Anda membayar sesuatu yang menyelesaikan masalah yang belum Anda namai, sementara celah yang tidak menarik tetap terbuka karena tidak ada yang menuliskannya.

Mulai dengan tiga alur kerja nyata

Pilih pekerjaan yang benar-benar dilakukan organisasi, bukan katalog ancaman. Tiga alur kerja sudah cukup; sepuluh menghasilkan dokumen yang tidak diselesaikan siapa pun. Daftar donatur, kumpulan dokumen kasus sensitif, dan situs web publik adalah tiga masalah berbeda dengan tiga mode kegagalan berbeda.

Untuk masing-masing, tuliskan apa yang berharga, siapa yang sah membutuhkan akses, siapa yang mungkin menyalahgunakannya, dan apa konsekuensinya jika diungkapkan, diubah, atau hilang begitu saja. Pertanyaan terakhir itulah yang dilewati tim dan yang menghasilkan tindakan paling berguna.

Sertakan orang-orang yang informasinya muncul dalam catatan itu, bukan hanya peralatan organisasi. Daftar donatur adalah daftar data orang lain, dan kerangka itu mengubah seberapa besar kehati-hatian yang proporsional. Daftar donatur adalah daftar data orang lain, dan kerangka itu mengubah seberapa besar kehati-hatian yang proporsional.

Panduan perencanaan EFF menyusun ini di sekitar aset, lawan, kemungkinan, konsekuensi, usaha, dan sekutu. Yang membuatnya bisa dipakai tim kecil adalah panduan itu meminta Anda memilih ke mana perhatian terbatas diarahkan alih-alih menjanjikan semuanya akan aman.

Akun dan jalur pemulihan

Kenali siapa yang mengendalikan email, penyimpanan awan, pendaftaran domain, dan akses administratif. Lalu periksa apakah itu akun resmi terpisah atau satu login bersama yang diketahui tiga orang. Login bersama mengubah setiap kepergian menjadi pengaturan ulang kata sandi yang tidak bisa diaudit siapa pun.

Aktifkan autentikasi multifaktor yang didukung untuk akun yang penting, dan tuliskan apa yang terjadi ketika staf atau sukarelawan pergi. Sertakan bagaimana perangkat pengganti didaftarkan, karena langkah itulah yang menciptakan kata sandi bersama berikutnya. Akses yang hanya diberikan adalah akses yang diam-diam menumpuk.

Rencanakan pemulihan selama semuanya masih berfungsi. Ketahui informasi mana yang memiliki salinan independen, siapa yang dapat memulihkannya, dan bagaimana tim menghubungi dukungan ketika email biasa atau jaringan pribadinya tidak tersedia. Kotak centang yang mengklaim cadangan aktif tidak membuktikan apa pun. Pemulihan yang benar-benar dilakukan seseorang membuktikan cukup banyak.

Tunjuk pemilik kedua untuk akun kritis. Kotak surat pribadi seorang sukarelawan tidak boleh menjadi satu-satunya jalan kembali ke situs web organisasi itu sendiri, dan satu kalimat itu mencegah satu kategori pekan yang sangat buruk.

Beri VPN satu tugas khusus

Jika staf perlu menjangkau layanan kantor pribadi, tunnel yang didukung adalah cara yang wajar untuk menyediakannya. Batasi daftar akses pada orang, perangkat, dan layanan yang membutuhkannya, dan biarkan autentikasi layanan itu sendiri tetap di tempatnya.

Jika tim bekerja sepenuhnya melalui aplikasi awan yang dikonfigurasi dengan baik, tetapkan apa yang benar-benar akan diubah tunnel baru sebelum membelinya. Di banyak organisasi kecil jawaban jujurnya adalah tidak ada yang terukur, dan uang yang sama jika dibelanjakan untuk kebersihan akun dan pemulihan yang teruji akan berbuat lebih banyak.

Perangkat anonimitas adalah cerita yang sama dalam arah berbeda. Itu menangani hubungan pengamat tertentu, bukan setiap risiko organisasi, dan bukan pengganti penanganan data penerima manfaat yang sensitif dengan hati-hati.

Ketika pekerjaan melibatkan ancaman bertarget atau informasi yang luar biasa sensitif, hadirkan bantuan yang berkualitas untuk konteks itu. Rekomendasi umum dari organisasi sebaya bukan penilaian ancaman.

Apa isi rencana satu halaman

Akhiri dengan daftar singkat alih-alih dokumen yang tidak dibaca siapa pun: risiko belum terselesaikan yang paling berdampak, tindakan yang dipilih untuk masing-masing, satu pemilik, dan tanggal tinjauan berikutnya.

Satu halaman cukup karena memang dimaksudkan untuk direvisi. Kembalilah padanya ketika layanan baru muncul, ketika sukarelawan bergabung atau pergi, dan ketika hubungan berbagi data berubah.

Itulah program keamanan yang benar-benar dapat dipelihara tim kecil, dan VPN mendapat tempatnya di dalamnya dengan menyelesaikan masalah yang dituliskan seseorang.