VPN не е безбедносен план за мала непрофитна организација

Малите организации купуваат тунел и претпоставуваат дека сега се безбедни. Всушност тунелот штити еден дел од едно патување, додека табелата со донатори останува споделена со секој што ја има врската, доменот се обновува со картичка што никој не ја ажурирал, а единствениот човек што може да ги врати досиејата е на пауза. VPN е корисна контрола. Тоа не е план и не може да биде.

Зошто алатката доаѓа последна

Тунелот го штити сообраќајот помеѓу уред и мрежата на другата страна. Тоа е вистинска и конкретна заштита и не кажува ништо за тоа кој смее да отвори споделена папка, дали страницата за најава била вистинска или дали минатомесечните податоци сѐ уште постојат.

Повеќето загуби во малите организации доаѓаат низ тие други врати. Преземање на сметка, премногу споделен документ и невратлив преносен компјутер се три неуспеси што работен VPN не ги допира. Ниту еден од нив не бара некој да го скрши тунелот.

Почнувањето со алатката го превртува и разговорот за буџет. На крајот плаќате за нешто што решава проблем што не сте го именувале, додека непривлечните празнини остануваат отворени зашто никој не ги запишал.

Почнете со три вистински работни текови

Изберете ја работата што организацијата навистина ја врши, а не каталог на закани. Три работни текови се доволни; десет создаваат документ што никој не го довршува. Список на донатори, збир на чувствителни предметни документи и јавна веб-страница се три различни проблеми со три различни начини на неуспех.

За секој од нив запишете што е вредно, кому легитимно му е потребен пристап, кој би можел да го злоупотреби и каква би била последицата ако биде откриено, изменето или едноставно исчезне. Последното прашање е она што тимовите го прескокнуваат и она што ги дава најкорисните дејства.

Вклучете ги луѓето чии информации се појавуваат во тие евиденции, не само опремата на организацијата. Списокот на донатори е список на податоци на други луѓе и таа рамка менува колку грижа е пропорционална. Список на донатори е список на податоци на други луѓе и таа рамка менува колку грижа е пропорционална.

Водичот за планирање на EFF го структурира ова околу средства, противници, веројатност, последици, труд и сојузници. За мал тим го прави употреблив тоа што бара да изберете каде ќе оди ограниченото внимание наместо да ветува дека сѐ ќе биде безбедно.

Сметки и патот на враќање

Утврдете кој контролира е-пошта, облачно складиште, регистрација на домен и административен пристап. Потоа проверете дали тоа се одделни овластени сметки или една споделена најава што ја знаат три лица. Споделените најави ја претвораат секоја оставка во ресетирање лозинка што никој не може да ја ревидира.

Вклучете поддржана повеќефакторска автентикација за сметките што се важни и запишете што се случува кога вработен или волонтер заминува. Вклучете и како се регистрира заменски уред, зашто токму тој чекор ја создава следната заедничка лозинка. Пристап што само се дава е пристап што тивко се собира.

Планирајте враќање додека сѐ уште работи. Знајте кои информации имаат независна копија, кој може да ги врати и како тимот доаѓа до поддршка кога неговата вообичаена е-пошта или приватна мрежа не се достапни. Поле за избор што тврди дека резервните копии се вклучени не докажува ништо. Враќање што некој навистина го извршил докажува доста.

Именувајте втор одговорен за критичните сметки. Личното поштенско сандаче на волонтер не смее да биде единствениот пат назад до сопствената веб-страница на организацијата и таа една реченица спречува цела категорија многу лоши недели.

Дајте му на VPN една конкретна задача

Ако вработените треба да стигнат до приватен канцелариски сервис, поддржан тунел е разумен начин тоа да се обезбеди. Држете го списокот за пристап до луѓето, уредите и услугите на кои им е потребен и оставете ја сопствената автентикација на сервисот таму каде што е.

Ако тимот работи целосно преку добро конфигурирани облачни апликации, утврдете што нов тунел навистина би сменил пред да купите. Во многу мали организации искрениот одговор е ништо мерливо и истите пари потрошени за хигиена на сметки и тестирано враќање би направиле повеќе.

Алатките за анонимност се истата приказна во друга насока. Тие се занимаваат со одредени односи со набљудувачи, не со секој организациски ризик и не ја заменуваат внимателната постапка со чувствителни податоци на корисници.

Кога работата вклучува насочени закани или необично чувствителни информации, доведете квалификувана помош за тој контекст. Општа препорака од партнерска организација не е проценка на закани.

Што содржи планот од една страница

Завршете со краток список, а не со документ што никој не го чита: најзначајните нерешени ризици, избраното дејство за секој, одговорен и датумот на следниот преглед.

Една страница е доволна зашто е наменета за преработка. Вратете се на неа кога ќе се појави нова услуга, кога волонтер се приклучува или заминува и кога се менува односот на споделување податоци.

Тоа е безбедносен програм што мал тим навистина може да го одржува, а VPN-от го заслужува своето место во него решавајќи проблем што некој го запишал.