VPN은 소규모 비영리 단체의 보안 계획이 아니다

작은 조직은 터널을 사고 이제 안전해졌다고 가정합니다. 실제로 벌어지는 일은 터널이 한 여정의 한 구간을 보호하는 동안 기부자 스프레드시트는 링크를 가진 누구와도 공유된 채로 남고, 도메인은 아무도 갱신하지 않은 카드로 갱신되며, 사건 파일을 복원할 수 있는 유일한 사람은 휴게 시간 중이라는 것입니다. VPN은 유용한 통제입니다. 그것은 계획이 아니며, 계획이 될 수도 없습니다.

도구가 마지막에 오는 이유

터널은 기기와 반대편 네트워크 사이의 트래픽을 보호합니다. 그것은 실제적이고 구체적인 보호이며, 누가 공유 폴더를 열 수 있는지, 로그인 페이지가 진짜였는지, 지난달 데이터가 아직 존재하는지에 대해서는 아무 말도 하지 않습니다.

작은 조직의 손실 대부분은 그 다른 문으로 들어옵니다. 계정 탈취, 지나치게 공유된 문서, 복구할 수 없는 노트북은 작동하는 VPN이 건드리지 못하는 세 가지 실패입니다. 어느 것도 누군가가 터널을 부수는 것을 요구하지 않습니다.

도구부터 시작하면 예산 대화도 뒤집힙니다. 결국 이름 붙이지 않은 문제를 해결하는 무언가에 돈을 내면서, 화려하지 않은 틈은 아무도 적어 두지 않았기 때문에 열린 채로 남습니다.

세 가지 실제 업무 흐름에서 시작하십시오

위협 목록이 아니라 조직이 실제로 하는 일을 고르십시오. 세 가지 업무 흐름이면 충분하고, 열 가지는 아무도 끝내지 않는 문서를 만듭니다. 기부자 목록, 민감한 사건 문서 묶음, 공개 웹사이트는 서로 다른 세 가지 실패 방식을 가진 세 가지 문제입니다.

각각에 대해 무엇이 가치 있는지, 누가 정당하게 접근이 필요한지, 누가 오용할 수 있는지, 공개되거나 변경되거나 그냥 사라진다면 어떤 결과가 생길지 적으십시오. 마지막 질문이 팀이 건너뛰는 질문이며 가장 유용한 조치를 만들어 내는 질문입니다.

조직의 장비만이 아니라 그 기록에 정보가 들어 있는 사람들도 포함하십시오. 기부자 목록은 다른 사람들의 세부 정보 목록이며, 그 틀이 어느 정도의 주의가 비례하는지를 바꿉니다. 기부자 목록은 다른 사람들의 세부 정보 목록이며, 그 틀이 어느 정도의 주의가 비례하는지를 바꿉니다.

EFF의 계획 안내서는 이를 자산, 적대자, 가능성, 결과, 노력, 동맹 주위로 구성합니다. 작은 팀에게 쓸모 있게 만드는 것은 모든 것이 안전할 것이라고 약속하는 대신 제한된 주의를 어디에 둘지 고르라고 요구한다는 점입니다.

계정과 복구 경로

이메일, 클라우드 저장소, 도메인 등록, 관리자 접근을 누가 통제하는지 파악하십시오. 그다음 그것이 별도의 승인된 계정인지, 세 사람이 아는 하나의 공유 로그인인지 확인하십시오. 공유 로그인은 모든 퇴사를 아무도 감사할 수 없는 비밀번호 재설정으로 바꿉니다.

중요한 계정에 지원되는 다중 인증을 켜고, 직원이나 자원봉사자가 떠날 때 무슨 일이 일어나는지 적으십시오. 다음 공유 비밀번호를 만드는 단계이므로 교체 기기가 어떻게 등록되는지도 포함하십시오. 주어지기만 하는 접근은 조용히 쌓이는 접근입니다.

모든 것이 아직 작동할 때 복구를 계획하십시오. 어떤 정보에 독립적인 사본이 있는지, 누가 복원할 수 있는지, 팀의 평소 이메일이나 사설 네트워크를 쓸 수 없을 때 지원에 어떻게 닿는지 알아 두십시오. 백업이 켜져 있다고 주장하는 체크박스는 아무것도 증명하지 않습니다. 누군가 실제로 수행한 복원은 상당한 것을 증명합니다.

중요 계정에는 두 번째 담당자를 지정하십시오. 자원봉사자의 개인 사서함이 조직 자체 웹사이트로 돌아가는 유일한 길이어서는 안 되며, 그 한 문장이 아주 나쁜 주들의 한 범주를 막습니다.

VPN에 하나의 구체적인 일을 주십시오

직원이 사내 비공개 서비스에 접근해야 한다면, 지원되는 터널은 그것을 제공하는 합리적인 방법입니다. 접근 목록은 그것이 필요한 사람, 기기, 서비스로 한정하고, 서비스 자체의 인증은 있는 자리에 두십시오.

팀이 잘 구성된 클라우드 애플리케이션만으로 일한다면, 새 터널을 사기 전에 그것이 실제로 무엇을 바꿀지 정하십시오. 많은 작은 조직에서 정직한 답은 측정 가능한 것이 없다는 것이며, 같은 돈을 계정 위생과 검증된 복구에 쓰는 편이 더 많은 일을 했을 것입니다.

익명성 도구도 다른 방향의 같은 이야기입니다. 그것은 특정한 관찰자 관계를 다루지 모든 조직적 위험을 다루는 것이 아니며, 민감한 수혜자 데이터를 세심하게 다루는 일을 대신하지 않습니다.

업무가 표적형 위협이나 유난히 민감한 정보를 포함한다면 그 맥락에 맞는 자격 있는 도움을 불러들이십시오. 동료 조직의 일반적인 권고는 위협 평가가 아닙니다.

한 장 계획에 담기는 것

가장 영향이 큰 미해결 위험, 각각에 대해 고른 조치, 담당자, 다음 검토 날짜만 담은 짧은 목록으로 끝내십시오.

다시 손보기 위한 것이므로 한 장이면 충분합니다. 새 서비스가 나타날 때, 자원봉사자가 합류하거나 떠날 때, 데이터 공유 관계가 바뀔 때 그리로 돌아가십시오.

그것이 작은 팀이 실제로 유지할 수 있는 보안 프로그램이며, VPN은 누군가 적어 둔 문제를 해결함으로써 그 안에서 제자리를 얻습니다.