En VPN är inte en säkerhetsplan för en liten ideell organisation

Små organisationer köper en tunnel och antar att de nu är säkra. Det som faktiskt händer är att tunneln skyddar ett ben av en enda resa, medan donatorarket fortfarande delas med alla som har länken, domänen förnyas på ett kort som ingen har uppdaterat, och den enda som kan återställa ärendemapparna har rast. En VPN är en användbar kontroll. Den är inte en plan och kan inte vara det.

Varför verktyget kommer sist

En tunnel skyddar trafik mellan en enhet och nätet i andra änden. Det är ett verkligt och specifikt skydd, och det säger ingenting om vem som får öppna en delad mapp, om en inloggningssida var äkta eller om förra månadens data fortfarande finns.

De flesta förluster i små organisationer kommer genom de andra dörrarna. Kontokapning, ett för brett delat dokument och en laptop som inte går att återställa är tre fel som en fungerande VPN inte rör. Ingen av dem kräver att någon bryter tunneln.

Att börja med verktyget vänder också budgetdiskussionen. Du betalar till slut för något som löser ett problem du inte har namngett, medan de oglamorösa luckorna står öppna eftersom ingen skrev ned dem.

Börja med tre verkliga arbetsflöden

Välj det arbete organisationen faktiskt gör i stället för en hotkatalog. Tre arbetsflöden räcker; tio ger ett dokument som ingen gör färdigt. En donatorlista, en uppsättning känsliga ärendedokument och en offentlig webbplats är tre olika problem med tre olika felsätt.

För var och en, skriv ned vad som är värdefullt, vem som legitimt behöver åtkomst, vem som skulle kunna missbruka det och vad konsekvensen skulle bli om det avslöjades, ändrades eller bara försvann. Den sista frågan är den team hoppar över och den som ger de mest användbara åtgärderna.

Inkludera människorna vars uppgifter finns i de registren, inte bara organisationens utrustning. En donatorlista är en lista över andra människors uppgifter, och den ramen ändrar hur mycket omsorg som är proportionerlig. En lista över donatorer är en lista över andra människors uppgifter, och den ramen ändrar hur mycket omsorg som är proportionerlig.

EFF:s planeringsguide strukturerar detta kring tillgångar, motståndare, sannolikhet, konsekvenser, ansträngning och allierade. Det som gör den användbar för ett litet team är att den ber dig välja vart den begränsade uppmärksamheten ska gå i stället för att lova att allt blir säkert.

Konton och vägen till återställning

Ta reda på vem som kontrollerar e-post, molnlagring, domänregistrering och administrativ åtkomst. Kontrollera sedan om det är separata auktoriserade konton eller en enda delad inloggning som tre personer känner till. Delade inloggningar gör varje avgång till en lösenordsåterställning som ingen kan granska.

Slå på stödd flerfaktorautentisering för de konton som betyder något, och skriv ned vad som händer när en anställd eller volontär slutar. Ta med hur en ersättningsenhet registreras, eftersom det är steget som skapar nästa gemensamma lösenord. Åtkomst som bara ges är åtkomst som tyst hopar sig.

Planera återställning medan allt fortfarande fungerar. Vet vilken information som har en oberoende kopia, vem som kan återställa den och hur teamet når support när dess vanliga e-post eller privata nät inte är tillgängligt. En kryssruta som påstår att säkerhetskopior är påslagna bevisar ingenting. En återställning som någon faktiskt har utfört bevisar en hel del.

Utse en andra ägare för kritiska konton. En volontärs privata brevlåda får inte vara den enda vägen tillbaka till organisationens egen webbplats, och den enda meningen förhindrar en hel kategori mycket dåliga veckor.

Ge VPN:en en bestämd uppgift

Om personalen behöver nå en privat kontorstjänst är en stödd tunnel ett rimligt sätt att leverera det. Håll åtkomstlistan till de personer, enheter och tjänster som behöver den, och låt tjänstens egen autentisering vara där den är.

Om teamet arbetar helt genom välkonfigurerade molnapplikationer, fastställ vad en ny tunnel faktiskt skulle ändra innan du köper en. I många små organisationer är det ärliga svaret ingenting mätbart, och samma pengar spenderade på kontohygien och en testad återställning skulle göra mer.

Anonymitetsverktyg är samma historia i en annan riktning. De hanterar särskilda observatörsrelationer, inte varje organisatorisk risk, och de ersätter inte varsam hantering av känsliga mottagardata.

Där arbetet innefattar riktade hot eller ovanligt känsliga uppgifter, ta in kvalificerad hjälp för den kontexten. En allmän rekommendation från en systerorganisation är inte en hotbedömning.

Vad planen på en sida innehåller

Avsluta med en kort lista i stället för ett dokument ingen läser: de mest konsekvensrika olösta riskerna, åtgärden vald för var och en, en ägare och datumet för nästa genomgång.

En sida räcker eftersom den är avsedd att revideras. Återvänd till den när en ny tjänst dyker upp, när en volontär börjar eller slutar och när ett datadelningsförhållande ändras.

Det är ett säkerhetsprogram som ett litet team faktiskt kan underhålla, och VPN:en förtjänar sin plats i det genom att lösa ett problem som någon skrev ned.