VPN bukan pelan keselamatan untuk pertubuhan bukan untung kecil

Pertubuhan kecil membeli terowong dan menganggap mereka kini selamat. Apa yang sebenarnya berlaku ialah terowong melindungi satu bahagian daripada satu perjalanan sementara hamparan penderma kekal dikongsi dengan sesiapa yang mempunyai pautan, domain diperbaharui dengan kad yang tiada siapa mengemas kini, dan satu-satunya orang yang boleh memulihkan fail kes sedang berehat. VPN ialah kawalan yang berguna. Ia bukan pelan, dan tidak boleh menjadi pelan.

Mengapa alat datang terakhir

Terowong melindungi trafik antara peranti dan rangkaian di hujung yang lain. Itu perlindungan yang nyata dan khusus, dan ia tidak mengatakan apa-apa tentang siapa yang boleh membuka folder dikongsi, sama ada halaman log masuk itu tulen, atau sama ada data bulan lalu masih wujud.

Kebanyakan kerugian di pertubuhan kecil datang melalui pintu-pintu lain itu. Pengambilalihan akaun, dokumen yang dikongsi terlalu luas dan komputer riba yang tidak dapat dipulihkan ialah tiga kegagalan yang tidak disentuh oleh VPN yang berfungsi. Tiada satu pun memerlukan seseorang memecahkan terowong.

Bermula dengan alat juga menterbalikkan perbualan belanjawan. Akhirnya anda membayar untuk sesuatu yang menyelesaikan masalah yang tidak anda namakan, sementara jurang yang tidak menarik kekal terbuka kerana tiada siapa menuliskannya.

Mulakan dengan tiga aliran kerja sebenar

Pilih kerja yang benar-benar dilakukan oleh pertubuhan, bukan katalog ancaman. Tiga aliran kerja sudah cukup; sepuluh menghasilkan dokumen yang tiada siapa selesaikan. Senarai penderma, satu set dokumen kes sensitif dan laman web awam ialah tiga masalah berbeza dengan tiga cara kegagalan berbeza.

Bagi setiap satu, tuliskan apa yang berharga, siapa yang memerlukan akses secara sah, siapa yang mungkin menyalahgunakannya, dan apa akibatnya jika ia didedahkan, diubah atau hilang begitu sahaja. Soalan terakhir itulah yang dilangkau oleh pasukan dan yang menghasilkan tindakan paling berguna.

Sertakan orang yang maklumatnya muncul dalam rekod itu, bukan hanya peralatan pertubuhan. Senarai penderma ialah senarai butiran orang lain, dan rangka itu mengubah berapa banyak penjagaan yang berkadar. Senarai penderma ialah senarai butiran orang lain, dan rangka itu mengubah berapa banyak penjagaan yang berkadar.

Panduan perancangan EFF menyusun ini di sekitar aset, lawan, kebarangkalian, akibat, usaha dan sekutu. Yang menjadikannya boleh digunakan oleh pasukan kecil ialah ia meminta anda memilih ke mana perhatian terhad pergi dan bukannya berjanji bahawa segala-galanya akan selamat.

Akaun dan laluan pemulihan

Kenal pasti siapa yang mengawal e-mel, storan awan, pendaftaran domain dan akses pentadbiran. Kemudian semak sama ada itu akaun dibenarkan yang berasingan atau satu log masuk dikongsi yang diketahui tiga orang. Log masuk dikongsi menjadikan setiap pemergian sebagai tetapan semula kata laluan yang tiada siapa boleh audit.

Hidupkan pengesahan berbilang faktor yang disokong untuk akaun yang penting, dan tuliskan apa yang berlaku apabila kakitangan atau sukarelawan pergi. Sertakan bagaimana peranti pengganti didaftarkan, kerana langkah itulah yang mencipta kata laluan dikongsi seterusnya. Akses yang hanya diberikan ialah akses yang senyap terkumpul.

Rancang pemulihan semasa semuanya masih berfungsi. Ketahui maklumat mana yang mempunyai salinan bebas, siapa yang boleh memulihkannya, dan bagaimana pasukan mencapai sokongan apabila e-mel biasa atau rangkaian peribadinya tidak tersedia. Kotak semak yang mendakwa sandaran diaktifkan tidak membuktikan apa-apa. Pemulihan yang benar-benar dilakukan oleh seseorang membuktikan banyak perkara.

Namakan pemilik kedua untuk akaun kritikal. Peti mel peribadi seorang sukarelawan tidak boleh menjadi satu-satunya jalan kembali ke laman web pertubuhan itu sendiri, dan ayat yang satu itu menghalang seluruh kategori minggu yang sangat buruk.

Berikan VPN satu tugas khusus

Jika kakitangan perlu mencapai perkhidmatan pejabat peribadi, terowong yang disokong ialah cara yang wajar untuk menyediakannya. Hadkan senarai akses kepada orang, peranti dan perkhidmatan yang memerlukannya, dan biarkan pengesahan perkhidmatan itu sendiri di tempatnya.

Jika pasukan bekerja sepenuhnya melalui aplikasi awan yang dikonfigurasi dengan baik, tentukan apa yang benar-benar akan diubah oleh terowong baharu sebelum membelinya. Di banyak pertubuhan kecil jawapan jujurnya ialah tiada yang boleh diukur, dan wang yang sama jika dibelanjakan untuk kebersihan akaun dan pemulihan yang diuji akan berbuat lebih banyak.

Alat tanpa nama ialah cerita yang sama ke arah yang berbeza. Ia menangani hubungan pemerhati tertentu, bukan setiap risiko organisasi, dan ia bukan pengganti pengendalian data benefisiari sensitif dengan berhati-hati.

Apabila kerja melibatkan ancaman bersasar atau maklumat yang luar biasa sensitif, bawakan bantuan yang layak untuk konteks itu. Syor umum daripada pertubuhan setara bukan penilaian ancaman.

Apa yang terkandung dalam pelan satu halaman

Akhiri dengan senarai pendek dan bukannya dokumen yang tiada siapa baca: risiko belum selesai yang paling besar, tindakan yang dipilih untuk setiap satu, seorang pemilik, dan tarikh semakan seterusnya.

Satu halaman sudah cukup kerana ia memang dimaksudkan untuk disemak semula. Kembalilah kepadanya apabila perkhidmatan baharu muncul, apabila sukarelawan menyertai atau pergi, dan apabila hubungan perkongsian data berubah.

Itulah program keselamatan yang benar-benar boleh dikekalkan oleh pasukan kecil, dan VPN mendapat tempatnya di dalamnya dengan menyelesaikan masalah yang dituliskan oleh seseorang.