VPN nėra saugumo planas mažai ne pelno organizacijai

Mažos organizacijos nuperka tunelį ir mano, kad dabar yra saugios. Iš tikrųjų tunelis apsaugo vieną vienos kelionės atkarpą, o aukotojų skaičiuoklė lieka bendrinama su visais, kas turi nuorodą, domenas pratęsiamas kortele, kurios niekas neatnaujino, ir vienintelis žmogus, galintis atkurti bylų failus, yra pertraukoje. VPN yra naudinga priemonė. Tai ne planas ir negali būti planu.

Kodėl įrankis ateina paskutinis

Tunelis apsaugo srautą tarp įrenginio ir tinklo kitame gale. Tai reali ir konkreti apsauga, ir ji nieko nesako apie tai, kas gali atidaryti bendrą aplanką, ar prisijungimo puslapis buvo tikras, ar praėjusio mėnesio duomenys dar egzistuoja.

Dauguma mažų organizacijų nuostolių ateina pro tas kitas duris. Paskyros perėmimas, per plačiai bendrinamas dokumentas ir neatkuriamas nešiojamasis kompiuteris yra trys gedimai, kurių veikiantis VPN neliečia. Nė vienam jų nereikia, kad kas nors sulaužytų tunelį.

Pradėjus nuo įrankio, apverčiamas ir biudžeto pokalbis. Galiausiai mokate už tai, kas sprendžia problemą, kurios neįvardijote, o neįspūdingos spragos lieka atviros, nes niekas jų neužrašė.

Pradėkite nuo trijų realių darbo eigų

Rinkitės ne grėsmių katalogą, o darbą, kurį organizacija iš tikrųjų atlieka. Trijų darbo eigų pakanka; dešimt sukuria dokumentą, kurio niekas nepabaigia. Aukotojų sąrašas, jautrių bylos dokumentų rinkinys ir vieša svetainė yra trys skirtingos problemos su trimis skirtingais gedimo būdais.

Kiekvienai užrašykite, kas yra vertinga, kam teisėtai reikia prieigos, kas galėtų ja piktnaudžiauti ir kokia būtų pasekmė, jei tai būtų atskleista, pakeista ar tiesiog dingtų. Paskutinis klausimas yra tas, kurį komandos praleidžia, ir tas, kuris duoda naudingiausius veiksmus.

Įtraukite žmones, kurių informacija yra tuose įrašuose, o ne tik organizacijos įrangą. Aukotojų sąrašas yra kitų žmonių duomenų sąrašas, ir ši samprata keičia, kiek rūpesčio yra proporcinga. Aukotojų sąrašas yra kitų žmonių duomenų sąrašas, ir ši samprata keičia, kiek rūpesčio yra proporcinga.

EFF planavimo gidas struktūruoja tai pagal turtą, priešininkus, tikimybę, pasekmes, pastangas ir sąjungininkus. Mažai komandai jį naudingą daro tai, kad jis prašo pasirinkti, kur nukreipti ribotą dėmesį, o ne žada, kad viskas bus saugu.

Paskyros ir atkūrimo kelias

Nustatykite, kas valdo elektroninį paštą, debesų saugyklą, domeno registraciją ir administracinę prieigą. Tada patikrinkite, ar tai atskiros įgaliotos paskyros, ar viena bendra prisijungimo informacija, kurią žino trys žmonės. Bendri prisijungimai kiekvieną išėjimą pavertė slaptažodžio atnaujinimu, kurio niekas negali audituoti.

Įjunkite palaikomą daugiafaktorį autentifikavimą svarbioms paskyroms ir užrašykite, kas nutinka, kai darbuotojas ar savanoris išeina. Įtraukite, kaip registruojamas pakaitinis įrenginys, nes būtent šis žingsnis sukuria kitą bendrą slaptažodį. Prieiga, kuri tik suteikiama, yra tyliai kaupiama prieiga.

Planuokite atkūrimą, kol viskas dar veikia. Žinokite, kuri informacija turi nepriklausomą kopiją, kas gali ją atkurti ir kaip komanda pasiekia pagalbą, kai įprastas elektroninis paštas ar privatus tinklas nepasiekiami. Varnelė, teigianti, kad atsarginės kopijos įjungtos, nieko neįrodo. Atkūrimas, kurį kas nors iš tikrųjų atliko, įrodo nemažai.

Paskirkite antrą atsakingą asmenį kritinėms paskyroms. Savanorio asmeninė pašto dėžutė neturi būti vienintelis kelias atgal į pačios organizacijos svetainę, ir šis vienas sakinys užkerta kelią visai labai blogų savaičių kategorijai.

Duokite VPN vieną konkrečią užduotį

Jei darbuotojams reikia pasiekti privatų biuro servisą, palaikomas tunelis yra pagrįstas būdas tai užtikrinti. Laikykite prieigos sąrašą prie žmonių, įrenginių ir paslaugų, kuriems to reikia, ir palikite pačios paslaugos autentifikavimą ten, kur jis yra.

Jei komanda dirba vien per gerai sukonfigūruotas debesų programas, prieš pirkdami nustatykite, ką naujas tunelis iš tikrųjų pakeistų. Daugelyje mažų organizacijų sąžiningas atsakymas yra nieko išmatuojamo, ir tie patys pinigai, išleisti paskyrų higienai ir išbandytam atkūrimui, duotų daugiau.

Anonimiškumo įrankiai yra ta pati istorija kita kryptimi. Jie sprendžia tam tikrus stebėtojų santykius, o ne kiekvieną organizacinę riziką, ir nepakeičia kruopštaus elgesio su jautriais naudos gavėjų duomenimis.

Kai darbas susijęs su tikslinėmis grėsmėmis ar neįprastai jautria informacija, tam kontekstui pasikvieskite kvalifikuotą pagalbą. Bendra partners organizacijos rekomendacija nėra grėsmių vertinimas.

Ką sudaro vieno puslapio planas

Pabaikite trumpu sąrašu, o ne dokumentu, kurio niekas neskaito: didžiausios neišspręstos rizikos, kiekvienai pasirinktas veiksmas, atsakingas asmuo ir kito peržiūros data.

Vieno puslapio pakanka, nes jis skirtas peržiūrėti. Grįžkite prie jo, kai atsiranda nauja paslauga, kai savanoris prisijungia ar išeina ir kai pasikeičia duomenų bendrinimo santykiai.

Tai saugumo programa, kurią maža komanda iš tikrųjų gali išlaikyti, ir VPN joje užsitarnauja vietą spręsdamas problemą, kurią kas nors užrašė.