VPN to nie plan bezpieczeństwa dla małej organizacji pozarządowej

Małe organizacje kupują tunel i zakładają, że są teraz bezpieczne. W rzeczywistości tunel chroni jeden odcinek jednej podróży, podczas gdy arkusz darczyńców pozostaje udostępniony każdemu, kto ma link, domena jest odnawiana kartą, której nikt nie aktualizował, a jedyna osoba, która potrafi odtworzyć akta spraw, jest na przerwie. VPN jest przydatnym mechanizmem kontroli. To nie plan i nie może nim być.

Dlaczego narzędzie przychodzi ostatnie

Tunel chroni ruch między urządzeniem a siecią po drugiej stronie. To realna i konkretna ochrona, ale nie mówi nic o tym, kto może otworzyć udostępniony folder, czy strona logowania była prawdziwa ani czy dane z zeszłego miesiąca nadal istnieją.

Większość strat w małych organizacjach przychodzi tymi innymi drzwiami. Przejęcie konta, zbyt szeroko udostępniony dokument i nieodtwarzalny laptop to trzy awarie, których działający VPN nie dotyka. Żadna z nich nie wymaga, by ktoś złamał tunel.

Zaczynanie od narzędzia odwraca też rozmowę o budżecie. W końcu płacisz za coś, co rozwiązuje problem, którego nie nazwałeś, podczas gdy nieatrakcyjne luki pozostają otwarte, bo nikt ich nie zapisał.

Zacznij od trzech rzeczywistych przepływów pracy

Wybierz pracę, którą organizacja naprawdę wykonuje, a nie katalog zagrożeń. Trzy przepływy pracy wystarczą; dziesięć daje dokument, którego nikt nie kończy. Lista darczyńców, zestaw wrażliwych dokumentów spraw i publiczna strona to trzy różne problemy z trzema różnymi trybami awarii.

Dla każdego zapisz, co jest cenne, kto legalnie potrzebuje dostępu, kto mógłby go nadużyć i jaki byłby skutek, gdyby informacja została ujawniona, zmieniona albo po prostu zniknęła. Ostatnie pytanie jest tym, które zespoły pomijają, i tym, które daje najbardziej użyteczne działania.

Uwzględnij osoby, których informacje są w tych rejestrach, a nie tylko sprzęt organizacji. Lista darczyńców to lista danych innych ludzi, a ta perspektywa zmienia to, ile staranności jest proporcjonalne. Lista darczyńców to lista danych innych ludzi, a ta perspektywa zmienia to, ile staranności jest proporcjonalne.

Przewodnik planowania EFF porządkuje to wokół zasobów, przeciwników, prawdopodobieństwa, konsekwencji, wysiłku i sojuszników. Dla małego zespołu użyteczne jest w nim to, że każe wybrać, gdzie trafia ograniczona uwaga, zamiast obiecywać, że wszystko będzie bezpieczne.

Konta i droga odzyskiwania

Ustal, kto kontroluje pocztę, pamięć w chmurze, rejestrację domeny i dostęp administracyjny. Następnie sprawdź, czy to odrębne upoważnione konta, czy jedno wspólne logowanie znane trzem osobom. Wspólne logowania zamieniają każde odejście w reset hasła, którego nikt nie może zaudytować.

Włącz obsługiwane uwierzytelnianie wieloskładnikowe dla kont, które się liczą, i zapisz, co się dzieje, gdy pracownik lub wolontariusz odchodzi. Uwzględnij, jak rejestruje się urządzenie zastępcze, bo właśnie ten krok tworzy kolejne wspólne hasło. Dostęp, który tylko się przyznaje, to dostęp, który po cichu się kumuluje.

Planuj odzyskiwanie, dopóki wszystko działa. Wiedz, które informacje mają niezależną kopię, kto może je odtworzyć i jak zespół dociera do wsparcia, gdy jego zwykła poczta lub sieć prywatna jest niedostępna. Pole wyboru twierdzące, że kopie zapasowe są włączone, niczego nie dowodzi. Odtworzenie, które ktoś rzeczywiście wykonał, dowodzi sporo.

Wyznacz drugiego właściciela krytycznych kont. Prywatna skrzynka wolontariusza nie może być jedyną drogą powrotu na własną stronę organizacji, a to jedno zdanie zapobiega całej kategorii bardzo złych tygodni.

Daj VPN jedno konkretne zadanie

Jeśli personel musi docierać do prywatnej usługi biurowej, obsługiwany tunel jest rozsądnym sposobem jej dostarczenia. Trzymaj listę dostępu przy ludziach, urządzeniach i usługach, które go potrzebują, a uwierzytelnianie samej usługi zostaw tam, gdzie jest.

Jeśli zespół pracuje wyłącznie przez dobrze skonfigurowane aplikacje w chmurze, ustal, co nowy tunel naprawdę zmieni, zanim go kupisz. W wielu małych organizacjach uczciwa odpowiedź brzmi: nic mierzalnego, a te same pieniądze wydane na higienę kont i sprawdzony proces odtwarzania zrobiłyby więcej.

Narzędzia anonimowości to ta sama historia w innym kierunku. Dotyczą określonych relacji z obserwatorami, a nie każdego ryzyka organizacji, i nie zastępują ostrożnego obchodzenia się z wrażliwymi danymi beneficjentów.

Gdy praca obejmuje ukierunkowane zagrożenia lub wyjątkowo wrażliwe informacje, sprowadź do tego kontekstu wykwalifikowaną pomoc. Ogólna rekomendacja od organizacji partnerskiej nie jest oceną zagrożeń.

Co zawiera plan na jednej stronie

Zakończ krótką listą zamiast dokumentu, którego nikt nie czyta: najważniejsze nierozwiązane ryzyka, wybrane działanie dla każdego, właściciel i data następnego przeglądu.

Jedna strona wystarczy, bo ma być aktualizowana. Wracaj do niej, gdy pojawia się nowa usługa, gdy wolontariusz dołącza lub odchodzi i gdy zmienia się relacja udostępniania danych.

To program bezpieczeństwa, który mały zespół naprawdę potrafi utrzymać, a VPN zasługuje w nim na swoje miejsce, rozwiązując problem, który ktoś zapisał.