Uma VPN não é um plano de segurança para uma pequena organização sem fins lucrativos

As pequenas organizações compram um túnel e assumem que estão agora seguras. O que acontece na realidade é que o túnel protege um troço de uma só viagem, enquanto a folha de cálculo dos doadores continua partilhada com quem tiver a ligação, o domínio é renovado com um cartão que ninguém atualizou e a única pessoa capaz de restaurar os processos está de pausa. Uma VPN é um controlo útil. Não é um plano, e não pode ser.

Porque a ferramenta chega por último

Um túnel protege o tráfego entre um dispositivo e a rede do outro lado. É uma proteção real e específica, e não diz nada sobre quem pode abrir uma pasta partilhada, se uma página de início de sessão era autêntica ou se os dados do mês passado ainda existem.

A maioria das perdas nas pequenas organizações chega por essas outras portas. O roubo de uma conta, um documento partilhado em excesso e um portátil irrecuperável são três falhas que uma VPN a funcionar não toca. Nenhuma delas exige que alguém quebre o túnel.

Começar pela ferramenta também inverte a conversa sobre o orçamento. Acaba a pagar por algo que resolve um problema que não nomeou, enquanto as lacunas pouco atraentes ficam abertas porque ninguém as escreveu.

Comece com três fluxos de trabalho reais

Escolha o trabalho que a organização faz de facto em vez de um catálogo de ameaças. Três fluxos de trabalho bastam; dez produzem um documento que ninguém termina. Uma lista de doadores, um conjunto de documentos sensíveis de processos e um sítio web público são três problemas diferentes com três modos de falha diferentes.

Para cada um, anote o que é valioso, quem precisa legitimamente de acesso, quem poderá fazer mau uso e qual seria a consequência se fosse divulgado, alterado ou simplesmente perdido. A última pergunta é a que as equipas saltam e a que produz as ações mais úteis.

Inclua as pessoas cujos dados aparecem nesses registos, não apenas o equipamento da organização. Uma lista de doadores é uma lista de dados de outras pessoas, e esse enquadramento altera quanta diligência é proporcionada. Uma lista de doadores é uma lista de dados de outras pessoas, e esse enquadramento altera quanta diligência é proporcionada.

O guia de planeamento da EFF estrutura isto em torno de ativos, adversários, probabilidade, consequências, esforço e aliados. O que o torna utilizável para uma equipa pequena é que lhe pede para escolher para onde vai a atenção limitada em vez de prometer que tudo estará seguro.

Contas e o caminho de recuperação

Identifique quem controla o correio eletrónico, o armazenamento na nuvem, o registo do domínio e o acesso administrativo. Depois verifique se são contas autorizadas separadas ou um único início de sessão partilhado que três pessoas conhecem. Inícios de sessão partilhados transformam cada saída numa reposição de palavra-passe que ninguém pode auditar.

Ative a autenticação multifator suportada nas contas que importam e anote o que acontece quando um membro da equipa ou um voluntário sai. Inclua como um dispositivo de substituição é registado, porque é esse passo que cria a próxima palavra-passe partilhada. O acesso que apenas é concedido é acesso que se acumula em silêncio.

Planeie a recuperação enquanto tudo funciona. Saiba que informação tem uma cópia independente, quem a pode restaurar e como a equipa chega ao apoio quando o seu correio habitual ou a rede privada não estão disponíveis. Uma caixa de verificação que afirma que as cópias de segurança estão ativas não prova nada. Uma restauração que alguém efetivamente fez prova bastante.

Nomeie um segundo responsável para as contas críticas. A caixa de correio pessoal de um voluntário não deve ser a única via de regresso ao sítio web da própria organização, e essa única frase evita uma categoria inteira de semanas muito más.

Dê à VPN uma tarefa concreta

Se a equipa precisa de chegar a um serviço privado de escritório, um túnel suportado é uma forma razoável de o proporcionar. Mantenha a lista de acesso nas pessoas, dispositivos e serviços que dele precisam, e deixe a autenticação própria do serviço onde está.

Se a equipa trabalha inteiramente através de aplicações na nuvem bem configuradas, estabeleça o que um novo túnel mudaria realmente antes de comprar um. Em muitas organizações pequenas a resposta honesta é nada mensurável, e o mesmo dinheiro gasto em higiene de contas e numa restauração testada faria mais.

As ferramentas de anonimato são a mesma história noutra direção. Tratam de relações específicas com observadores, não de todos os riscos organizacionais, e não substituem o tratamento cuidadoso de dados sensíveis dos beneficiários.

Quando o trabalho envolve ameaças dirigidas ou informação invulgarmente sensível, traga ajuda qualificada para esse contexto. Uma recomendação genérica de uma organização congénere não é uma avaliação de ameaças.

O que contém o plano de uma página

Termine com uma lista curta em vez de um documento que ninguém lê: os riscos não resolvidos mais relevantes, a ação escolhida para cada um, um responsável e a data da próxima revisão.

Uma página basta porque foi feita para ser revista. Volte a ela quando aparecer um novo serviço, quando um voluntário entrar ou sair e quando mudar uma relação de partilha de dados.

Esse é um programa de segurança que uma equipa pequena consegue realmente manter, e a VPN ganha o seu lugar dentro dele ao resolver um problema que alguém escreveu.