VPN nie je bezpečnostný plán pre malú neziskovú organizáciu

Malé organizácie kúpia tunel a predpokladajú, že sú teraz v bezpečí. V skutočnosti tunel chráni jeden úsek jednej cesty, zatiaľ čo tabuľka darcov zostáva zdieľaná s kýmkoľvek, kto má odkaz, doména sa obnovuje kartou, ktorú nikto neaktualizoval, a jediný človek, ktorý dokáže obnoviť spisy prípadov, je na prestávke. VPN je užitočné opatrenie. Nie je to plán a nemôže ním byť.

Prečo nástroj prichádza ako posledný

Tunel chráni prevádzku medzi zariadením a sieťou na druhej strane. Je to skutočná a konkrétna ochrana a nehovorí nič o tom, kto smie otvoriť zdieľaný priečinok, či bola prihlasovacia stránka pravá alebo či údaje z minulého mesiaca ešte existujú.

Väčšina strát v malých organizáciách prichádza tými inými dverami. Prevzatie účtu, príliš zdieľaný dokument a neobnoviteľný notebook sú tri zlyhania, ktorých sa fungujúca VPN netýka. Ani jedno z nich nevyžaduje, aby niekto prelomil tunel.

Začať nástrojom obracia aj rozhovor o rozpočte. Nakoniec platíte za niečo, čo rieši problém, ktorý ste nepomenovali, zatiaľ čo neatraktívne medzery zostávajú otvorené, pretože ich nikto nezapísal.

Začnite tromi skutočnými pracovnými postupmi

Vyberte prácu, ktorú organizácia skutočne robí, nie katalóg hrozieb. Tri pracovné postupy stačia; desať vytvorí dokument, ktorý nikto nedokončí. Zoznam darcov, súbor citlivých dokumentov k prípadom a verejný web sú tri rôzne problémy s tromi rôznymi režimami zlyhania.

Pre každý zapíšte, čo je cenné, kto oprávnene potrebuje prístup, kto by ho mohol zneužiť a aký by bol dôsledok, keby bolo prezradené, zmenené alebo jednoducho zmizlo. Posledná otázka je tá, ktorú tímy preskakujú, a tá, ktorá prináša najužitočnejšie opatrenia.

Zahrňte ľudí, ktorých údaje sa v týchto záznamoch objavujú, nielen vybavenie organizácie. Zoznam darcov je zoznam údajov iných ľudí a tento rámec mení, koľko starostlivosti je primerané. Zoznam darcov je zoznam údajov iných ľudí a tento rámec mení, koľko starostlivosti je primerané.

Plánovacia príručka EFF to stavia okolo aktív, protivníkov, pravdepodobnosti, dôsledkov, úsilia a spojencov. Pre malý tím je použiteľná vďaka tomu, že po vás chce vybrať, kam pôjde obmedzená pozornosť, namiesto sľubu, že všetko bude v bezpečí.

Účty a cesta k obnove

Určte, kto ovláda e-mail, cloudové úložisko, registráciu domény a administratívny prístup. Potom skontrolujte, či ide o oddelené oprávnené účty alebo o jedno zdieľané prihlásenie, ktoré poznajú traja ľudia. Zdieľané prihlásenia menia každý odchod na reset hesla, ktorý nikto nemôže auditovať.

Zapnite podporované viacfaktorové overovanie pre účty, na ktorých záleží, a zapíšte, čo sa stane, keď zamestnanec alebo dobrovoľník odíde. Uveďte aj to, ako sa zaregistruje náhradné zariadenie, pretože práve tento krok vytvára ďalšie zdieľané heslo. Prístup, ktorý sa len udeľuje, je prístup, ktorý ticho narastá.

Plánujte obnovu, kým všetko ešte funguje. Vedzte, ktoré informácie majú nezávislú kópiu, kto ich môže obnoviť a ako sa tím dostane k podpore, keď jeho bežný e-mail alebo privátna sieť nie sú dostupné. Zaškrtávacie políčko tvrdiace, že zálohy sú zapnuté, nič nedokazuje. Obnova, ktorú niekto skutočne vykonal, dokazuje dosť.

Vymenujte druhého vlastníka kritických účtov. Osobná schránka dobrovoľníka nesmie byť jedinou cestou späť na vlastný web organizácie a táto jediná veta zabráni celej kategórii veľmi zlých týždňov.

Dajte VPN jednu konkrétnu úlohu

Ak zamestnanci potrebujú dosiahnuť na privátnu kancelársku službu, podporovaný tunel je rozumný spôsob, ako to zabezpečiť. Držte zoznam prístupu na ľuďoch, zariadeniach a službách, ktoré ho potrebujú, a nechajte vlastné overovanie služby tam, kde je.

Ak tím pracuje výhradne cez dobre nastavené cloudové aplikácie, zistite, čo by nový tunel skutočne zmenil, než nejaký kúpite. V mnohých malých organizáciách je úprimná odpoveď nič merateľné a tie isté peniaze vynaložené na hygienu účtov a vyskúšanú obnovu by urobili viac.

Nástroje anonymity sú ten istý príbeh iným smerom. Riešia určité vzťahy s pozorovateľmi, nie každé organizačné riziko, a nenahrádzajú starostlivé zaobchádzanie s citlivými údajmi prijímateľov.

Keď práca zahŕňa cielené hrozby alebo nezvyčajne citlivé informácie, prizvite pre tento kontext kvalifikovanú pomoc. Všeobecné odporúčanie od partnerskej organizácie nie je hodnotenie hrozieb.

Čo obsahuje jednostranový plán

Skončite krátkym zoznamom, nie dokumentom, ktorý nikto nečíta: najzávažnejšie nevyriešené riziká, zvolené opatrenie pre každé, vlastník a dátum ďalšej revízie.

Jedna stránka stačí, pretože je určená na prepracovanie. Vráťte sa k nej, keď sa objaví nová služba, keď dobrovoľník nastúpi alebo odíde a keď sa zmení vzťah zdieľania údajov.

To je bezpečnostný program, ktorý malý tím skutočne dokáže udržiavať, a VPN si v ňom svoje miesto zaslúži tým, že rieši problém, ktorý niekto zapísal.