En VPN er ikke en sikkerhetsplan for en liten frivillig organisasjon

Små organisasjoner kjøper en tunnel og antar at de nå er sikre. Det som faktisk skjer, er at tunnelen beskytter ett bein av én reise, mens donorregnearket fortsatt deles med alle som har lenken, domenet fornyes på et kort ingen har oppdatert, og den eneste som kan gjenopprette saksmappene, har pause. En VPN er en nyttig kontroll. Den er ikke en plan, og kan ikke være det.

Hvorfor verktøyet kommer sist

En tunnel beskytter trafikken mellom en enhet og nettet i den andre enden. Det er en reell og konkret beskyttelse, og den sier ingenting om hvem som kan åpne en delt mappe, om en innloggingsside var ekte, eller om forrige måneds data fortsatt finnes.

De fleste tap i små organisasjoner kommer gjennom de andre dørene. Kontoovertakelse, et overdelt dokument og en laptop som ikke kan gjenopprettes er tre feil en fungerende VPN ikke berører. Ingen av dem krever at noen bryter tunnelen.

Å starte med verktøyet snur også budsjettdiskusjonen. Du ender med å betale for noe som løser et problem du ikke har navngitt, mens de lite glamorøse hullene står åpne fordi ingen skrev dem ned.

Start med tre virkelige arbeidsflyter

Velg arbeidet organisasjonen faktisk gjør, ikke en trusselkatalog. Tre arbeidsflyter er nok; ti gir et dokument ingen gjør ferdig. En donorliste, et sett med sensitive saksdokumenter og et offentlig nettsted er tre ulike problemer med tre ulike feilmåter.

For hver av dem, skriv ned hva som er verdifullt, hvem som legitimt trenger tilgang, hvem som kan misbruke det, og hva konsekvensen ville være hvis det ble avslørt, endret eller bare borte. Det siste spørsmålet er det team hopper over, og det som gir de mest nyttige tiltakene.

Ta med menneskene hvis opplysninger står i de registrene, ikke bare organisasjonens utstyr. En donorliste er en liste over andre menneskers opplysninger, og den innrammingen endrer hvor mye omsorg som er rimelig. En liste over donorer er en liste over andre menneskers opplysninger, og den innrammingen endrer hvor mye omsorg som er rimelig.

EFFs planleggingsveiledning strukturerer dette rundt eiendeler, motstandere, sannsynlighet, konsekvenser, innsats og allierte. Det som gjør den brukbar for et lite team, er at den ber deg velge hvor den begrensede oppmerksomheten skal gå i stedet for å love at alt blir trygt.

Kontoer og veien til gjenoppretting

Finn ut hvem som kontrollerer e-post, skylagring, domeneregistrering og administrativ tilgang. Sjekk deretter om det er separate autoriserte kontoer eller én delt innlogging som tre personer kjenner. Delte innlogginger gjør hver avgang til en passordtilbakestilling ingen kan revidere.

Slå på støttet flerfaktorautentisering for kontoene som betyr noe, og skriv ned hva som skjer når en ansatt eller frivillig slutter. Ta med hvordan en erstatningsenhet registreres, fordi det er trinnet som skaper neste felles passord. Tilgang som bare blir gitt, er tilgang som stille hoper seg opp.

Planlegg gjenoppretting mens alt fortsatt virker. Vit hvilken informasjon som har en uavhengig kopi, hvem som kan gjenopprette den, og hvordan teamet når støtte når den vanlige e-posten eller det private nettet ikke er tilgjengelig. En avkrysningsboks som hevder at sikkerhetskopier er slått på, beviser ingenting. En gjenoppretting noen faktisk har utført, beviser en god del.

Utpek en andre eier for kritiske kontoer. En frivilligs private postkasse må ikke være den eneste veien tilbake til organisasjonens eget nettsted, og den ene setningen forhindrer en hel kategori svært dårlige uker.

Gi VPN-en én bestemt oppgave

Hvis ansatte trenger å nå en privat kontortjeneste, er en støttet tunnel en rimelig måte å levere det på. Hold tilgangslisten til personene, enhetene og tjenestene som trenger den, og la tjenestens egen autentisering bli der den er.

Hvis teamet arbeider helt gjennom godt konfigurerte skyapplikasjoner, fastslå hva en ny tunnel faktisk ville endre før du kjøper en. I mange små organisasjoner er det ærlige svaret ingenting målbart, og de samme pengene brukt på kontohygiene og en testet gjenoppretting ville gjøre mer.

Anonymitetsverktøy er den samme historien i en annen retning. De håndterer bestemte observatørforhold, ikke enhver organisatorisk risiko, og de er ikke en erstatning for å håndtere sensitive mottakerdata forsiktig.

Der arbeidet innebærer målrettede trusler eller uvanlig sensitive opplysninger, hent inn kvalifisert hjelp for den konteksten. En generell anbefaling fra en søsterorganisasjon er ikke en trusselvurdering.

Hva planen på én side inneholder

Avslutt med en kort liste i stedet for et dokument ingen leser: de mest konsekvensrike uløste risikoene, tiltaket valgt for hver, en eier og datoen for neste gjennomgang.

Én side er nok fordi den er ment å revideres. Kom tilbake til den når en ny tjeneste dukker opp, når en frivillig begynner eller slutter, og når et datadelingsforhold endres.

Det er et sikkerhetsprogram et lite team faktisk kan vedlikeholde, og VPN-en fortjener plassen sin i det ved å løse et problem noen skrev ned.