VPN — это не план безопасности для небольшой некоммерческой организации

Небольшие организации покупают туннель и полагают, что теперь они в безопасности. На самом деле туннель защищает один участок одного пути, а таблица жертвователей остаётся доступной всем, у кого есть ссылка, домен продлевается картой, которую никто не обновил, и единственный человек, способный восстановить материалы дел, находится на перерыве. VPN — полезная мера. Но это не план, и он не может им быть.

Почему инструмент идёт последним

Туннель защищает трафик между устройством и сетью на другом конце. Это реальная и конкретная защита, и она ничего не говорит о том, кто может открыть общую папку, была ли страница входа подлинной, сохранились ли данные прошлого месяца.

Большинство потерь в небольших организациях приходит через эти другие двери. Захват учётной записи, слишком широко открытый документ и невосстановимый ноутбук — три отказа, которых работающий VPN не касается. Ни один из них не требует, чтобы кто-то взломал туннель.

Начало с инструмента переворачивает и разговор о бюджете. В итоге вы платите за то, что решает проблему, которую вы не назвали, а неброские пробелы остаются открытыми, потому что никто их не записал.

Начните с трёх реальных рабочих процессов

Выбирайте работу, которую организация действительно делает, а не каталог угроз. Трёх рабочих процессов достаточно; десять дают документ, который никто не доводит до конца. Список жертвователей, набор конфиденциальных документов дела и публичный сайт — три разные проблемы с тремя разными сценариями отказа.

Для каждого запишите, что ценно, кому законно нужен доступ, кто может этим злоупотребить и каким будет последствие, если это раскроют, изменят или просто потеряют. Последний вопрос — тот, который команды пропускают, и тот, который даёт самые полезные действия.

Включите людей, чьи данные есть в этих записях, а не только оборудование организации. Список жертвователей — это список данных других людей, и такая рамка меняет то, сколько заботы соразмерно. Список жертвователей — это список данных других людей, и такая рамка меняет то, сколько заботы соразмерно.

Руководство EFF по планированию строит это вокруг активов, противников, вероятности, последствий, усилий и союзников. Для небольшой команды его делает пригодным то, что оно просит выбрать, куда направить ограниченное внимание, вместо обещания, что всё будет в безопасности.

Учётные записи и путь восстановления

Определите, кто контролирует почту, облачное хранилище, регистрацию домена и административный доступ. Затем проверьте, это отдельные уполномоченные учётные записи или один общий вход, который знают три человека. Общие входы превращают каждый уход в сброс пароля, который никто не может проверить.

Включите поддерживаемую многофакторную аутентификацию для важных учётных записей и запишите, что происходит, когда сотрудник или волонтёр уходит. Включите и то, как регистрируется сменное устройство, потому что именно этот шаг создаёт следующий общий пароль. Доступ, который только выдаётся, — это доступ, который тихо накапливается.

Планируйте восстановление, пока всё ещё работает. Знайте, какие данные имеют независимую копию, кто может их восстановить и как команда получает поддержку, когда её обычная почта или частная сеть недоступны. Галочка, утверждающая, что резервные копии включены, ничего не доказывает. Восстановление, которое кто-то действительно выполнил, доказывает немало.

Назначьте второго ответственного для критических учётных записей. Личный почтовый ящик волонтёра не должен быть единственным путём обратно на собственный сайт организации, и это одно предложение предотвращает целую категорию очень плохих недель.

Дайте VPN одну конкретную задачу

Если сотрудникам нужно попасть в частный офисный сервис, поддерживаемый туннель — разумный способ это обеспечить. Держите список доступа на людях, устройствах и сервисах, которым он нужен, и оставьте собственную аутентификацию сервиса там, где она есть.

Если команда работает полностью через хорошо настроенные облачные приложения, определите, что новый туннель действительно изменит, прежде чем покупать его. Во многих небольших организациях честный ответ — ничего измеримого, и те же деньги, потраченные на гигиену учётных записей и проверенное восстановление, сделали бы больше.

Инструменты анонимности — та же история в другом направлении. Они касаются определённых отношений с наблюдателями, а не каждого организационного риска, и не заменяют бережное обращение с чувствительными данными благополучателей.

Там, где работа включает целевые угрозы или необычно чувствительную информацию, привлекайте квалифицированную помощь для этого контекста. Общая рекомендация от партнёрской организации не является оценкой угроз.

Что содержит план на одной странице

Завершите коротким списком, а не документом, который никто не читает: самые значимые нерешённые риски, выбранное действие для каждого, ответственный и дата следующего пересмотра.

Одной страницы достаточно, потому что её предполагается пересматривать. Возвращайтесь к ней, когда появляется новый сервис, когда волонтёр приходит или уходит и когда меняются отношения обмена данными.

Это программа безопасности, которую небольшая команда действительно может поддерживать, и VPN заслуживает в ней место, решая проблему, которую кто-то записал.