VPN er ekki öryggisáætlun fyrir litla sjálfseignarstofnun

Lítil samtök kaupa jarðgöng og gera ráð fyrir að þau séu nú örugg. Það sem raunverulega gerist er að jarðgöngin vernda eina leið einnar ferðar, á meðan gjafendartöflureiknirinn er áfram deildur með öllum sem hafa hlekkinn, léninu er endurnýjað á korti sem enginn uppfærði, og eina manneskjan sem getur endurheimt málsgögnin er í pásu. VPN er gagnleg stjórn. Það er ekki áætlun og getur það ekki verið.

Hvers vegna tólið kemur síðast

Jarðgöng vernda umferð milli tækis og netkerfisins hinum megin. Það er raunveruleg og sértæk vernd, og hún segir ekkert um hver má opna deilda möppu, hvort innskráningarsíða var ósvikin eða hvort gögn síðasta mánaðar eru enn til.

Flest tjón hjá litlum samtökum koma í gegnum þær aðrar dyr. Reikningsyfirtaka, ofdeilt skjal og fartölva sem ekki er hægt að endurheimta eru þrjár bilanir sem virkt VPN snertir ekki. Ekkert þeirra krefst þess að einhver brjóti jarðgöngin.

Að byrja á tólinu snýr líka fjárhagsviðtalinu við. Þú endar á að borga fyrir eitthvað sem leysir vandamál sem þú hefur ekki nefnt, á meðan hin óspennandi eyður eru áfram opnar vegna þess að enginn skrifaði þær niður.

Byrjið á þremur raunverulegum vinnuflæðum

Veldu þá vinnu sem samtökin gera í raun frekar en ógnaskrá. Þrjú vinnuflæði eru nóg; tíu framleiða skjal sem enginn klárar. Gjafendalisti, safn viðkvæmra málsskjala og opinber vefsíða eru þrjú ólík vandamál með þrjár ólíkar bilanir.

Fyrir hvert þeirra skaltu skrifa niður hvað er verðmætt, hver þarf aðgang á lögmætan hátt, hver gæti misnotað hann og hverjar afleiðingarnar yrðu ef upplýsingarnar yrðu afhjúpaðar, breyttar eða einfaldlega horfnar. Síðasta spurningin er sú sem teymin sleppa og sú sem skilar nytsamlegustu aðgerðunum.

Hafa með fólkið sem upplýsingar þess birtast í þessum skrám, ekki bara búnað samtakanna. Gjafendalisti er listi yfir upplýsingar annarra, og þessi rammi breytir því hversu mikil gæsla er í hlutfalli. Gjafendalisti er listi yfir upplýsingar annarra, og þessi rammi breytir því hversu mikil gæsla er í hlutfalli.

Skipulagsleiðarvísir EFF byggir þetta á eignum, andstæðingum, líkum, afleiðingum, fyrirhöfn og bandamönnum. Það sem gerir hann nothæfan fyrir lítið teymi er að hann biður þig að velja hvert takmörkuð athygli fer í stað þess að lofa því að allt verði öruggt.

Reikningar og endurheimtarleiðin

Greindu hver stjórnar tölvupósti, skýjageymslu, lénaakrá og stjórnunarlegum aðgangi. Athugaðu síðan hvort þetta eru aðskildir heimilaðir reikningar eða ein sameiginleg innskráning sem þrjár manneskjur þekkja. Sameiginlegar innskráningar gera hverja brotthvarf að lykilorðsbreytingu sem enginn getur endurskoðað.

Kveiktu á studdri fjölþátta auðkenningu fyrir reikningana sem skipta máli og skrifaðu niður hvað gerist þegar starfsmaður eða sjálfboðaliði hættir. Hafa með hvernig skiptitæki er skráð, því það skref skapar næsta sameiginlega lykilorð. Aðgangur sem aðeins er veittur er aðgangur sem safnast hljóðlega.

Skipuleggðu endurheimt á meðan allt virkar enn. Vitaðu hvaða upplýsingar hafa sjálfstætt eintak, hver getur endurheimt þær og hvernig teymið nær í stuðning þegar venjulegur tölvupóstur þess eða einkanetkerfi er ekki tiltækt. Gátkassi sem fullyrðir að afrit séu virk sannar ekkert. Endurheimt sem einhver hefur raunverulega framkvæmt sannar töluvert.

Nefndu annan ábyrgðarmann fyrir mikilvæga reikninga. Persónulegt pósthólf sjálfboðaliða má ekki vera eina leiðin aftur á vefsíðu samtakanna sjálfra, og þessi eina setning kemur í veg fyrir heilan flokk mjög slæmra vikna.

Gefðu VPN einu sértæku verkefni

Ef starfsfólk þarf að ná í einka skrifstofuþjónustu er studd jarðgöng sanngjörn leið til að veita það. Haltu aðgangslistanum við fólkið, tækin og þjónusturnar sem þurfa hann, og láttu auðkenningu þjónustunnar sjálfrar vera þar sem hún er.

Ef teymið vinnur alfarið í gegnum vel uppsett skýjaforrit skaltu ákvarða hvað ný jarðgöng myndu raunverulega breyta áður en þú kaupir ein. Hjá mörgum litlum samtökum er heiðarlegt svar ekkert mælanlegt, og sami peningur varið í hreinlæti reikninga og prófaða endurheimt myndi gera meira.

Nafnleysisverkfæri eru sama saga í aðra átt. Þau fjalla um ákveðin sambönd við áhorfendur, ekki hverja skipulagslega áhættu, og þau koma ekki í stað varkárrar meðferðar viðkvæmra gagna styrkþega.

Þar sem vinnan felur í sér markvissar ógnir eða óvenjulega viðkvæmar upplýsingar skaltu fá hæfa aðstoð fyrir það samhengi. Almenn ráðlegging frá jafningjasamtökum er ekki ógnamat.

Hvað felst í einnar síðu áætlun

Endaðu á stuttum lista í stað skjals sem enginn les: afdrifaríkustu óleystu áhætturnar, valin aðgerð fyrir hverja, ábyrgðarmaður og dagsetning næstu endurskoðunar.

Ein síða er nóg því henni er ætlað að vera endurskoðuð. Farðu aftur í hana þegar ný þjónusta birtist, þegar sjálfboðaliði kemur eða fer og þegar samband um gagnamiðlun breytist.

Það er öryggisáætlun sem lítið teymi getur raunverulega viðhaldið, og VPN á sér þar sess með því að leysa vandamál sem einhver skrifaði niður.