Una VPN non è un piano di sicurezza per una piccola associazione

Le piccole organizzazioni comprano un tunnel e danno per scontato di essere diventate sicure. Quello che accade davvero è che il tunnel protegge un tratto di un solo tragitto mentre il foglio di calcolo dei donatori resta condiviso con chiunque abbia il link, il dominio si rinnova con una carta che nessuno ha aggiornato e l'unica persona in grado di ripristinare i fascicoli è in pausa. Una VPN è un controllo utile. Non è un piano, e non può esserlo.

Perché lo strumento arriva per ultimo

Un tunnel protegge il traffico tra un dispositivo e la rete dall'altra parte. È una protezione reale e specifica, e non dice nulla su chi può aprire una cartella condivisa, se una pagina di accesso era autentica o se i dati del mese scorso esistono ancora.

La maggior parte delle perdite nelle piccole organizzazioni arriva da quelle altre porte. La compromissione di un account, un documento condiviso troppo ampiamente e un portatile irrecuperabile sono tre guasti che una VPN funzionante non tocca. Nessuno di essi richiede che qualcuno violi il tunnel.

Partire dallo strumento rovescia anche la conversazione sul budget. Si finisce per pagare qualcosa che risolve un problema che non avete nominato, mentre le lacune poco appariscenti restano aperte perché nessuno le ha scritte.

Iniziate da tre flussi di lavoro reali

Scegliete il lavoro che l'organizzazione fa davvero invece di un catalogo di minacce. Tre flussi di lavoro bastano; dieci producono un documento che nessuno completa. Un elenco di donatori, una serie di documenti sensibili di fascicoli e un sito web pubblico sono tre problemi diversi con tre diversi modi di fallire.

Per ciascuno, annotate cosa è prezioso, chi ha legittimamente bisogno di accesso, chi potrebbe abusarne e quale sarebbe la conseguenza se l'informazione venisse divulgata, modificata o semplicemente perduta. L'ultima domanda è quella che i team saltano e quella che produce le azioni più utili.

Includete le persone i cui dati compaiono in quei registri, non solo l'attrezzatura dell'organizzazione. Un elenco di donatori è un elenco di dati di altre persone, e questa impostazione cambia quanta cura sia proporzionata. Un elenco di donatori è un elenco di dati di altre persone, e questa impostazione cambia quanta cura sia proporzionata.

La guida alla pianificazione di EFF struttura questo intorno ad asset, avversari, probabilità, conseguenze, impegno e alleati. Ciò che la rende utilizzabile per un piccolo team è che vi chiede di scegliere dove va l'attenzione limitata invece di promettere che tutto sarà al sicuro.

Account e percorso di recupero

Individuate chi controlla la posta, l'archiviazione cloud, la registrazione del dominio e l'accesso amministrativo. Poi verificate se si tratta di account autorizzati separati o di un unico accesso condiviso che tre persone conoscono. Gli accessi condivisi trasformano ogni uscita in un ripristino di password che nessuno può verificare.

Attivate l'autenticazione a più fattori supportata per gli account che contano e annotate cosa succede quando un membro del personale o un volontario se ne va. Includete come viene registrato un dispositivo sostitutivo, perché è quel passaggio a creare la successiva password condivisa. L'accesso che viene solo concesso è accesso che si accumula in silenzio.

Pianificate il recupero mentre tutto funziona ancora. Sappiate quali informazioni hanno una copia indipendente, chi può ripristinarle e come il team raggiunge l'assistenza quando la sua posta abituale o la rete privata non sono disponibili. Una casella che dichiara attivi i backup non dimostra nulla. Un ripristino che qualcuno ha davvero eseguito dimostra molto.

Nominate un secondo responsabile per gli account critici. La casella personale di un volontario non deve essere l'unica via di ritorno al sito web dell'organizzazione stessa, e quella sola frase evita un'intera categoria di settimane molto brutte.

Date alla VPN un compito preciso

Se il personale deve raggiungere un servizio privato d'ufficio, un tunnel supportato è un modo ragionevole di fornirlo. Limitate l'elenco degli accessi alle persone, ai dispositivi e ai servizi che ne hanno bisogno, e lasciate l'autenticazione propria del servizio dov'è.

Se il team lavora interamente tramite applicazioni cloud ben configurate, stabilite cosa cambierebbe davvero un nuovo tunnel prima di comprarne uno. In molte piccole organizzazioni la risposta onesta è nulla di misurabile, e gli stessi soldi spesi in igiene degli account e in un ripristino collaudato farebbero di più.

Gli strumenti di anonimato sono la stessa storia in un'altra direzione. Affrontano specifici rapporti con osservatori, non ogni rischio organizzativo, e non sostituiscono un trattamento accurato dei dati sensibili dei beneficiari.

Quando il lavoro comporta minacce mirate o informazioni insolitamente sensibili, coinvolgete un aiuto qualificato per quel contesto. Una raccomandazione generica di un'organizzazione pari non è una valutazione delle minacce.

Cosa contiene il piano di una pagina

Concludete con un elenco breve invece di un documento che nessuno legge: i rischi irrisolti più rilevanti, l'azione scelta per ciascuno, un responsabile e la data della prossima revisione.

Una pagina basta perché è pensata per essere rivista. Tornateci quando appare un nuovo servizio, quando un volontario entra o esce e quando cambia un rapporto di condivisione dei dati.

Questo è un programma di sicurezza che un piccolo team può davvero mantenere, e la VPN si guadagna il suo posto risolvendo un problema che qualcuno ha scritto.