VPN ni varnostni načrt za majhno neprofitno organizacijo

Male organizacije kupijo tunel in domnevajo, da so zdaj varne. V resnici tunel ščiti en odsek enega potovanja, medtem ko je preglednica donatorjev še vedno deljena z vsakomer, ki ima povezavo, domena se podaljšuje s kartico, ki je nihče ni posodobil, in edina oseba, ki lahko obnovi spise primerov, je na odmoru. VPN je koristen nadzor. Ni načrt in ne more biti.

Zakaj orodje pride zadnje

Tunel ščiti promet med napravo in omrežjem na drugi strani. To je resnična in konkretna zaščita, in ne pove ničesar o tem, kdo lahko odpre deljeno mapo, ali je bila prijavna stran pristna ali ali podatki prejšnjega meseca še obstajajo.

Večina izgub v majhnih organizacijah pride skozi ta druga vrata. Prevzem računa, preveč deljen dokument in neobnovljiv prenosnik so tri okvare, ki se jih delujoč VPN ne dotakne. Nobena od njih ne zahteva, da bi kdo vlomil tunel.

Začetek z orodjem obrne tudi pogovor o proračunu. Na koncu plačujete za nekaj, kar rešuje problem, ki ga niste poimenovali, medtem ko neopazne vrzeli ostajajo odprte, ker jih nihče ni zapisal.

Začnite s tremi resničnimi delovnimi tokovi

Izberite delo, ki ga organizacija dejansko opravlja, ne kataloga groženj. Trije delovni tokovi zadostujejo; deset jih ustvari dokument, ki ga nihče ne dokonča. Seznam donatorjev, nabor občutljivih dokumentov primerov in javna spletna stran so trije različni problemi s tremi različnimi načini odpovedi.

Za vsakega zapišite, kaj je dragoceno, kdo legitimno potrebuje dostop, kdo bi ga lahko zlorabil in kakšna bi bila posledica, če bi bilo razkrito, spremenjeno ali preprosto izginilo. Zadnje vprašanje je tisto, ki ga ekipe preskočijo, in tisto, ki prinese najbolj uporabne ukrepe.

Vključite ljudi, katerih podatki so v teh evidencah, ne le opreme organizacije. Seznam donatorjev je seznam podatkov drugih ljudi in ta okvir spremeni, koliko skrbnosti je sorazmerne. Seznam donatorjev je seznam podatkov drugih ljudi in ta okvir spremeni, koliko skrbnosti je sorazmerne.

Vodnik za načrtovanje EFF to gradi okoli sredstev, nasprotnikov, verjetnosti, posledic, truda in zaveznikov. Za majhno ekipo je uporaben zato, ker vas prosi, da izberete, kam gre omejena pozornost, namesto da bi obljubljal, da bo vse varno.

Računi in pot obnovitve

Ugotovite, kdo nadzoruje e-pošto, shrambo v oblaku, registracijo domene in skrbniški dostop. Nato preverite, ali so to ločeni pooblaščeni računi ali ena deljena prijava, ki jo poznajo tri osebe. Deljene prijave spremenijo vsak odhod v ponastavitev gesla, ki je nihče ne more revidirati.

Vklopite podprto večfaktorsko preverjanje za račune, ki štejejo, in zapišite, kaj se zgodi, ko zaposleni ali prostovoljec odide. Vključite tudi, kako se registrira nadomestna naprava, ker prav ta korak ustvari naslednje skupno geslo. Dostop, ki se le podeljuje, je dostop, ki se tiho kopiči.

Načrtujte obnovitev, dokler vse še deluje. Vedite, katere informacije imajo neodvisno kopijo, kdo jih lahko obnovi in kako ekipa doseže podporo, ko njena običajna e-pošta ali zasebno omrežje nista na voljo. Kljukica, ki trdi, da so varnostne kopije omogočene, ne dokazuje ničesar. Obnovitev, ki jo je nekdo dejansko izvedel, dokazuje precej.

Imenujte drugega lastnika kritičnih računov. Osebni nabiralnik prostovoljca ne sme biti edina pot nazaj na lastno spletno stran organizacije in ta edini stavek prepreči celo kategorijo zelo slabih tednov.

Dajte VPN eno konkretno nalogo

Če mora osebje doseči zasebno pisarniško storitev, je podprt tunel razumen način za to. Omejite seznam dostopa na ljudi, naprave in storitve, ki ga potrebujejo, in pustite lastno preverjanje storitve tam, kjer je.

Če ekipa dela izključno prek dobro nastavljenih oblačnih aplikacij, ugotovite, kaj bi nov tunel resnično spremenil, preden ga kupite. V mnogih majhnih organizacijah je pošten odgovor nič merljivega in isti denar, porabljen za higieno računov in preizkušeno obnovitev, bi naredil več.

Orodja za anonimnost so ista zgodba v drugi smeri. Obravnavajo določene odnose z opazovalci, ne vsakega organizacijskega tveganja, in ne nadomeščajo skrbnega ravnanja z občutljivimi podatki upravičencev.

Kjer delo vključuje ciljne grožnje ali nenavadno občutljive informacije, pritegnite za ta kontekst usposobljeno pomoč. Splošno priporočilo partnerske organizacije ni ocena groženj.

Kaj vsebuje enostranski načrt

Končajte s kratkim seznamom, ne z dokumentom, ki ga nihče ne bere: najpomembnejša nerešena tveganja, izbrani ukrep za vsako, lastnik in datum naslednjega pregleda.

Ena stran zadostuje, ker je namenjena pregledovanju. Vrnite se k njej, ko se pojavi nova storitev, ko se prostovoljec pridruži ali odide in ko se spremeni odnos deljenja podatkov.

To je varnostni program, ki ga majhna ekipa resnično lahko vzdržuje, in VPN si v njem zasluži svoje mesto z reševanjem problema, ki ga je nekdo zapisal.