Un VPN nu este un plan de securitate pentru o mică organizație non-profit

Organizațiile mici cumpără un tunel și presupun că sunt acum în siguranță. Ce se întâmplă de fapt este că tunelul protejează un singur segment al unei singure călătorii, în timp ce foaia de calcul a donatorilor rămâne partajată cu oricine are linkul, domeniul se reînnoiește cu un card pe care nimeni nu l-a actualizat, iar singura persoană care poate restaura dosarele este în pauză. Un VPN este un control util. Nu este un plan și nu poate fi.

De ce instrumentul vine ultimul

Un tunel protejează traficul dintre un dispozitiv și rețeaua de la celălalt capăt. Aceasta este o protecție reală și specifică și nu spune nimic despre cine poate deschide un dosar partajat, dacă o pagină de autentificare era autentică sau dacă datele de luna trecută mai există.

Majoritatea pierderilor din organizațiile mici vin pe acele alte uși. Preluarea unui cont, un document partajat prea larg și un laptop nerecuperabil sunt trei eșecuri pe care un VPN funcțional nu le atinge. Niciunul nu cere ca cineva să spargă tunelul.

A începe cu instrumentul inversează și conversația despre buget. Ajungi să plătești pentru ceva ce rezolvă o problemă pe care nu ai numit-o, în timp ce golurile neimpresionante rămân deschise pentru că nimeni nu le-a scris.

Începeți cu trei fluxuri de lucru reale

Alegeți munca pe care organizația o face cu adevărat, nu un catalog de amenințări. Trei fluxuri de lucru sunt suficiente; zece produc un document pe care nimeni nu îl termină. O listă de donatori, un set de documente sensibile de dosar și un site web public sunt trei probleme diferite cu trei moduri diferite de eșec.

Pentru fiecare, notați ce este valoros, cine are nevoie legitimă de acces, cine ar putea abuza și care ar fi consecința dacă ar fi divulgat, modificat sau pur și simplu dispărut. Ultima întrebare este cea pe care echipele o sar și cea care produce cele mai utile acțiuni.

Includeți oamenii ale căror informații apar în acele evidențe, nu doar echipamentul organizației. O listă de donatori este o listă de date ale altor oameni, iar această încadrare schimbă cât de multă grijă este proporțională. O listă de donatori este o listă de date ale altor oameni, iar această încadrare schimbă cât de multă grijă este proporțională.

Ghidul de planificare al EFF structurează acest lucru în jurul activelor, adversarilor, probabilității, consecințelor, efortului și aliaților. Ceea ce îl face utilizabil pentru o echipă mică este că vă cere să alegeți unde merge atenția limitată în loc să promită că totul va fi în siguranță.

Conturi și calea de recuperare

Identificați cine controlează e-mailul, stocarea în cloud, înregistrarea domeniului și accesul administrativ. Apoi verificați dacă sunt conturi autorizate separate sau o singură autentificare partajată pe care o știu trei persoane. Autentificările partajate transformă fiecare plecare într-o resetare de parolă pe care nimeni nu o poate audita.

Activați autentificarea multifactor acceptată pentru conturile care contează și notați ce se întâmplă când un angajat sau un voluntar pleacă. Includeți modul în care se înregistrează un dispozitiv de înlocuire, pentru că acel pas creează următoarea parolă comună. Accesul care doar se acordă este acces care se acumulează în tăcere.

Planificați recuperarea cât timp totul încă funcționează. Știți ce informații au o copie independentă, cine le poate restaura și cum ajunge echipa la suport când e-mailul obișnuit sau rețeaua privată nu sunt disponibile. O bifă care susține că backupurile sunt activate nu dovedește nimic. O restaurare pe care cineva a făcut-o efectiv dovedește destul de mult.

Numiți un al doilea responsabil pentru conturile critice. Cutia poștală personală a unui voluntar nu trebuie să fie singura cale de întoarcere la site-ul web al organizației, iar acea singură frază previne o întreagă categorie de săptămâni foarte proaste.

Dați VPN-ului o sarcină concretă

Dacă personalul trebuie să ajungă la un serviciu privat de birou, un tunel acceptat este o modalitate rezonabilă de a-l furniza. Păstrați lista de acces la persoanele, dispozitivele și serviciile care au nevoie de el și lăsați autentificarea serviciului însuși acolo unde este.

Dacă echipa lucrează în întregime prin aplicații cloud bine configurate, stabiliți ce ar schimba de fapt un tunel nou înainte de a cumpăra unul. În multe organizații mici răspunsul onest este nimic măsurabil, iar aceiași bani cheltuiți pe igiena conturilor și pe o restaurare testată ar face mai mult.

Instrumentele de anonimat sunt aceeași poveste într-o altă direcție. Abordează relații specifice cu observatori, nu fiecare risc organizațional, și nu înlocuiesc tratarea atentă a datelor sensibile ale beneficiarilor.

Când munca implică amenințări țintite sau informații neobișnuit de sensibile, aduceți ajutor calificat pentru acel context. O recomandare generică de la o organizație parteneră nu este o evaluare a amenințărilor.

Ce conține planul de o pagină

Încheiați cu o listă scurtă în loc de un document pe care nimeni nu îl citește: riscurile nerezolvate cu cel mai mare impact, acțiunea aleasă pentru fiecare, un responsabil și data următoarei revizuiri.

O pagină este suficientă pentru că este menită să fie revizuită. Reveniți la ea când apare un serviciu nou, când un voluntar se alătură sau pleacă și când se schimbă o relație de partajare a datelor.

Acesta este un program de securitate pe care o echipă mică îl poate întreține cu adevărat, iar VPN-ul își câștigă locul în el rezolvând o problemă pe care cineva a scris-o.