VPNは小さな非営利団体のセキュリティ計画ではない

小さな組織はトンネルを買い、これで安全になったと考えます。実際に起きているのは、トンネルが一つの旅の一区間を守る一方で、寄付者の表計算はリンクを知る誰とでも共有されたままで、ドメインは誰も更新していないカードで更新され、ケースファイルを復元できる唯一の人が休憩中だということです。VPNは有用な統制です。しかし計画ではなく、計画にはなりえません。

なぜ道具が最後に来るのか

トンネルは端末と反対側のネットワークの間の通信を守ります。それは現実的で具体的な防御であり、共有フォルダを誰が開けるのか、サインインページが本物だったのか、先月のデータがまだ存在するのかについては何も語りません。

小さな組織の損失の多くは、そうした別の扉から入ってきます。アカウントの乗っ取り、共有しすぎた文書、復元できないノートパソコンは、機能するVPNが触れない三つの失敗です。どれも誰かがトンネルを破ることを必要としません。

道具から始めると、予算の会話も逆立ちします。名前を付けていない問題を解くものにお金を払い、地味な隙間は誰も書き留めていないために開いたままになります。

三つの実際の業務から始める

脅威のカタログではなく、組織が実際に行っている仕事を選びます。三つの業務で十分で、十では誰も仕上げない文書ができます。寄付者名簿、機微なケース文書の集まり、公開ウェブサイトは、三つの異なる失敗の仕方を持つ三つの異なる問題です。

それぞれについて、何が価値あるのか、誰が正当にアクセスを必要とするのか、誰が悪用しうるのか、開示されたり改変されたり単に失われたりしたらどんな結果になるのかを書き出します。最後の問いこそ、チームが飛ばしがちで、最も役立つ行動を生む問いです。

組織の機器だけでなく、その記録に情報が載っている人々を含めます。寄付者名簿は他人の情報の一覧であり、その枠組みがどれだけの注意が釣り合うかを変えます。寄付者の一覧は他人の情報の一覧であり、その枠組みがどれだけの注意が釣り合うかを変えます。

EFFの計画ガイドは、これを資産、敵対者、可能性、結果、労力、味方の周りに組み立てます。小さなチームに使えるものにしているのは、すべてが安全になると約束する代わりに、限られた注意をどこに向けるかを選ばせる点です。

アカウントと復旧の道筋

メール、クラウドストレージ、ドメイン登録、管理者アクセスを誰が握っているかを特定します。次に、それらが別々の許可されたアカウントなのか、三人が知っている一つの共有ログインなのかを確認します。共有ログインは、あらゆる退職を誰も監査できないパスワード再設定に変えます。

重要なアカウントで対応している多要素認証を有効にし、職員やボランティアが去ったときに何が起きるかを書き留めます。次の共有パスワードを生むのがその手順だからこそ、代替端末がどう登録されるかも含めてください。与えられるだけのアクセスは、静かに積み上がるアクセスです。

すべてが動いているうちに復旧を計画します。どの情報に独立した複製があるのか、誰が復元できるのか、通常のメールや私設ネットワークが使えないときにチームがどうサポートに到達するのかを知っておきます。バックアップが有効だと主張するチェックボックスは何も証明しません。誰かが実際に行った復元は多くを証明します。

重要なアカウントには二人目の担当者を指名します。ボランティアの私用メールボックスが組織自身のウェブサイトへ戻る唯一の道であってはならず、その一文が非常に悪い週の一カテゴリを防ぎます。

VPNに一つの具体的な仕事を与える

職員が社内の非公開サービスに到達する必要があるなら、対応しているトンネルはそれを提供する妥当な方法です。アクセス一覧は必要とする人、端末、サービスに限定し、サービス自身の認証はそのままの場所に残します。

チームが十分に設定されたクラウドアプリだけで働いているなら、新しいトンネルを買う前に、それが実際に何を変えるのかを確かめます。多くの小さな組織では正直な答えは測れるものは何もないであり、同じ資金をアカウントの衛生と試験済みの復元に使うほうが多くをなしとげます。

匿名化の道具も同じ話を別の方向から扱います。それは特定の観察者との関係に対処するもので、あらゆる組織のリスクではなく、機微な受益者データを丁寧に扱うことの代わりにはなりません。

業務が標的型の脅威や異常に機微な情報を含む場合は、その文脈にふさわしい専門家の助けを入れます。同業組織からの一般的な助言は脅威評価ではありません。

一枚の計画に含まれるもの

最も影響の大きい未解決のリスク、それぞれに選んだ行動、担当者、次の見直しの日付という短い一覧で終え、誰も読まない文書にはしません。

見直すためのものなので一枚で足ります。新しいサービスが現れたとき、ボランティアが加わるときや去るとき、データ共有の関係が変わるときに、そこへ戻ります。

それが小さなチームでも実際に維持できるセキュリティ計画であり、VPNは誰かが書き留めた問題を解くことでその中の居場所を得ます。