VPN није безбедносни план за малу непрофитну организацију

Мале организације купе тунел и претпостављају да су сада безбедне. Заправо тунел штити један део једног путовања, док табела донатора остаје дељена са сваким ко има везу, домен се обнавља картицом коју нико није ажурирао, а једина особа која може да врати предметне досијее је на паузи. VPN је корисна контрола. Он није план и не може то бити.

Зашто алат долази последњи

Тунел штити саобраћај између уређаја и мреже на другој страни. То је стварна и конкретна заштита и не говори ништа о томе ко сме да отвори дељени фолдер, да ли је страница за пријаву била права или да ли подаци од прошлог месеца још постоје.

Већина губитака у малим организацијама долази кроз та друга врата. Преузимање налога, превише дељен документ и лаптоп који се не може вратити три су квара које исправан VPN не дотиче. Ниједан од њих не захтева да неко пробије тунел.

Почетак са алатом преокреће и разговор о буџету. На крају плаћате нешто што решава проблем који нисте именовали, док непретенциозне празнине остају отворене јер их нико није записао.

Почните са три стварна радна тока

Изаберите посао који организација заиста обавља, а не каталог претњи. Три радна тока су довољна; десет даје документ који нико не довршава. Списак донатора, скуп осетљивих предметних докумената и јавни веб-сајт три су различита проблема са три различита начина отказа.

За сваки запишите шта је вредно, коме је приступ законито потребан, ко би га могао злоупотребити и каква би била последица ако би било откривено, измењено или једноставно нестало. Последње питање је оно које тимови прескачу и оно које даје најкорисније поступке.

Укључите људе чији се подаци појављују у тим евиденцијама, не само опрему организације. Списак донатора је списак података других људи и тај оквир мења колико је бриге сразмерно. Списак донатора је списак података других људи и тај оквир мења колико је бриге сразмерно.

Водич за планирање EFF-а структурира ово око средстава, противника, вероватноће, последица, труда и савезника. За мали тим га чини употребљивим то што тражи да изаберете где ће ограничена пажња, уместо да обећава да ће све бити безбедно.

Налози и пут опоравка

Утврдите ко контролише е-пошту, складиштење у облаку, регистрацију домена и административни приступ. Затим проверите да ли су то одвојени овлашћени налози или једна заједничка пријава коју знају три особе. Заједничке пријаве претварају сваки одлазак у ресетовање лозинке које нико не може да ревидира.

Укључите подржану вишефакторску аутентификацију за налоге који су важни и запишите шта се дешава када запослени или волонтер оде. Укључите и како се региструје заменски уређај, јер тај корак ствара следећу заједничку лозинку. Приступ који се само даје је приступ који тихо нараста.

Планирајте опоравак док све још ради. Знајте које информације имају независну копију, ко може да их врати и како тим долази до подршке када његова уобичајена е-пошта или приватна мрежа нису доступне. Поље за потврду које тврди да су резервне копије укључене не доказује ништа. Опоравак који је неко стварно извео доказује доста.

Именујте другог одговорног за критичне налоге. Лично поштанско сандуче волонтера не сме бити једини пут назад на сопствени веб-сајт организације и та једна реченица спречава целу категорију веома лоших недеља.

Дајте VPN-у један конкретан задатак

Ако запосленима треба приступ приватној канцеларијској услузи, подржани тунел је разуман начин да се то обезбеди. Држите списак приступа на људима, уређајима и услугама којима је потребан и оставите сопствену аутентификацију услуге тамо где јесте.

Ако тим ради искључиво кроз добро конфигурисане cloud апликације, утврдите шта би нови тунел заиста променио пре него што га купите. У многим малим организацијама искрен одговор је ништа мерљиво и исти новац потрошен на хигијену налога и тестирани опоравак учинио би више.

Алати за анонимност су иста прича у другом смеру. Баве се одређеним односима с посматрачима, а не сваким организационим ризиком, и не замењују пажљиво поступање са осетљивим подацима корисника.

Када посао укључује циљане претње или необично осетљиве информације, доведите квалификовану помоћ за тај контекст. Општа препорука партнерске организације није процена претњи.

Шта садржи план на једној страни

Завршите кратким списком, а не документом који нико не чита: најзначајнији нерешени ризици, изабрана радња за сваки, одговорни и датум следећег прегледа.

Једна страна је довољна јер је намењена преради. Вратите се на њу када се појави нова услуга, када се волонтер придружи или оде и када се промени однос дељења података.

То је безбедносни програм који мали тим заиста може да одржава, а VPN у њему заслужује своје место решавајући проблем који је неко записао.