Een VPN is geen beveiligingsplan voor een kleine non-profitorganisatie

Kleine organisaties kopen een tunnel en nemen aan dat ze nu veilig zijn. Wat er werkelijk gebeurt, is dat de tunnel één been van één reis beschermt, terwijl de donateursspreadsheet gedeeld blijft met iedereen die de link heeft, het domein wordt verlengd met een kaart die niemand heeft bijgewerkt, en de enige persoon die de dossierbestanden kan herstellen, pauze heeft. Een VPN is een nuttige maatregel. Het is geen plan, en dat kan het niet zijn.

Waarom het hulpmiddel als laatste komt

Een tunnel beschermt verkeer tussen een apparaat en het netwerk aan de andere kant. Dat is een echte en specifieke bescherming, en ze zegt niets over wie een gedeelde map mag openen, of een inlogpagina echt was, of de gegevens van vorige maand nog bestaan.

De meeste verliezen bij kleine organisaties komen via die andere deuren binnen. Accountovername, een te breed gedeeld document en een onherstelbare laptop zijn drie storingen die een werkende VPN niet raakt. Geen ervan vereist dat iemand de tunnel breekt.

Beginnen met het hulpmiddel keert ook het budgetgesprek om. Je betaalt uiteindelijk voor iets dat een probleem oplost dat je niet hebt benoemd, terwijl de onopvallende gaten openblijven omdat niemand ze heeft opgeschreven.

Begin met drie echte werkstromen

Kies het werk dat de organisatie werkelijk doet in plaats van een dreigingscatalogus. Drie werkstromen zijn genoeg; tien leveren een document op dat niemand afmaakt. Een donateurslijst, een set gevoelige dossierstukken en een publieke website zijn drie verschillende problemen met drie verschillende faalwijzen.

Schrijf voor elk op wat waardevol is, wie legitiem toegang nodig heeft, wie er misbruik van zou kunnen maken, en wat het gevolg zou zijn als het openbaar werd, veranderd of gewoon weg. De laatste vraag is degene die teams overslaan en degene die de nuttigste acties oplevert.

Betrek de mensen wier gegevens in die registraties staan, niet alleen de apparatuur van de organisatie. Een donateurslijst is een lijst met gegevens van andere mensen, en dat kader verandert hoeveel zorg evenredig is. Een lijst met donateurs is een lijst met gegevens van andere mensen, en dat kader verandert hoeveel zorg evenredig is.

De planningsgids van EFF structureert dit rond activa, tegenstanders, waarschijnlijkheid, gevolgen, inspanning en bondgenoten. Wat hem bruikbaar maakt voor een klein team, is dat hij je vraagt te kiezen waar de beperkte aandacht naartoe gaat in plaats van te beloven dat alles veilig zal zijn.

Accounts en het herstelpad

Bepaal wie e-mail, cloudopslag, de domeinregistratie en administratieve toegang beheert. Controleer vervolgens of dat gescheiden geautoriseerde accounts zijn of één gedeelde login die drie mensen kennen. Gedeelde logins maken van elk vertrek een wachtwoordreset die niemand kan controleren.

Schakel ondersteunde multifactorauthenticatie in voor de accounts die ertoe doen, en schrijf op wat er gebeurt als een medewerker of vrijwilliger vertrekt. Neem op hoe een vervangend apparaat wordt aangemeld, want dat is de stap die het volgende gedeelde wachtwoord creëert. Toegang die alleen wordt gegeven, is toegang die zich stil opstapelt.

Plan herstel terwijl alles nog werkt. Weet welke informatie een onafhankelijke kopie heeft, wie die kan herstellen, en hoe het team support bereikt wanneer zijn gewone e-mail of privénetwerk niet beschikbaar is. Een vinkje dat beweert dat back-ups aanstaan, bewijst niets. Een herstel dat iemand daadwerkelijk heeft uitgevoerd, bewijst nogal wat.

Benoem een tweede eigenaar voor kritieke accounts. De persoonlijke mailbox van een vrijwilliger mag niet de enige weg terug naar de eigen website van de organisatie zijn, en die ene zin voorkomt een hele categorie van zeer slechte weken.

Geef de VPN één specifieke taak

Als medewerkers een particuliere kantoorvoorziening moeten bereiken, is een ondersteunde tunnel een redelijke manier om dat te leveren. Houd de toegangslijst bij de mensen, apparaten en diensten die hem nodig hebben, en laat de eigen authenticatie van de dienst waar die is.

Als het team volledig via goed geconfigureerde cloudapplicaties werkt, stel dan vast wat een nieuwe tunnel werkelijk zou veranderen voordat je er een koopt. In veel kleine organisaties is het eerlijke antwoord niets meetbaars, en hetzelfde geld besteed aan account-hygiëne en een getest herstel zou meer doen.

Anonimiteitstools zijn hetzelfde verhaal in een andere richting. Ze pakken bepaalde waarnemersrelaties aan, niet elk organisatierisico, en ze zijn geen vervanging voor het zorgvuldig omgaan met gevoelige gegevens van begunstigden.

Waar het werk gerichte dreigingen of ongewoon gevoelige informatie omvat, haal daar gekwalificeerde hulp bij. Een algemene aanbeveling van een zusterorganisatie is geen dreigingsanalyse.

Wat het plan van één pagina bevat

Sluit af met een korte lijst in plaats van een document dat niemand leest: de meest ingrijpende onopgeloste risico's, de gekozen actie voor elk, een eigenaar en de datum van de volgende herziening.

Eén pagina is genoeg omdat hij bedoeld is om herzien te worden. Kom erop terug wanneer een nieuwe dienst verschijnt, wanneer een vrijwilliger komt of gaat en wanneer een gegevensdelingsrelatie verandert.

Dat is een beveiligingsprogramma dat een klein team echt kan onderhouden, en de VPN verdient er zijn plek door een probleem op te lossen dat iemand heeft opgeschreven.