VPN ไม่ใช่แผนความปลอดภัยสำหรับองค์กรไม่แสวงหากำไรขนาดเล็ก

องค์กรขนาดเล็กซื้ออุโมงค์แล้วคิดว่าปลอดภัยแล้ว สิ่งที่เกิดขึ้นจริงคืออุโมงค์ปกป้องเพียงช่วงหนึ่งของการเดินทางครั้งหนึ่ง ขณะที่สเปรดชีตผู้บริจาคยังถูกแชร์ให้ใครก็ตามที่มีลิงก์ โดเมนต่ออายุด้วยบัตรที่ไม่มีใครอัปเดต และคนเดียวที่กู้คืนแฟ้มคดีได้กำลังพักอยู่ VPN เป็นมาตรการควบคุมที่มีประโยชน์ แต่ไม่ใช่แผน และไม่อาจเป็นได้

ทำไมเครื่องมือจึงมาทีหลัง

อุโมงค์ปกป้องการรับส่งข้อมูลระหว่างอุปกรณ์กับเครือข่ายที่อยู่อีกด้านหนึ่ง นั่นเป็นการป้องกันจริงและเฉพาะเจาะจง และไม่ได้บอกอะไรเลยว่าใครเปิดโฟลเดอร์ที่แชร์ได้ หน้าล็อกอินเป็นของจริงหรือไม่ หรือข้อมูลเดือนที่แล้วยังอยู่หรือเปล่า

ความสูญเสียส่วนใหญ่ในองค์กรขนาดเล็กมาจากประตูบานอื่นเหล่านั้น การยึดบัญชี เอกสารที่แชร์กว้างเกินไป และแล็ปท็อปที่กู้คืนไม่ได้คือสามความล้มเหลวที่ VPN ที่ใช้งานได้ไม่แตะต้อง ไม่มีสักข้อที่ต้องให้ใครเจาะอุโมงค์

การเริ่มจากเครื่องมือยังพลิกบทสนทนาเรื่องงบประมาณ สุดท้ายคุณจ่ายเงินให้กับสิ่งที่แก้ปัญหาที่คุณไม่ได้ตั้งชื่อ ขณะที่ช่องโหว่ที่ไม่น่าตื่นเต้นยังเปิดอยู่เพราะไม่มีใครจดไว้

เริ่มจากสามกระบวนการทำงานจริง

เลือกงานที่องค์กรทำจริง ไม่ใช่แคตตาล็อกภัยคุกคาม สามกระบวนการก็เพียงพอ สิบกระบวนการจะได้เอกสารที่ไม่มีใครทำจนจบ รายชื่อผู้บริจาค ชุดเอกสารคดีที่ละเอียดอ่อน และเว็บไซต์สาธารณะคือสามปัญหาที่ต่างกันด้วยวิธีล้มเหลวที่ต่างกันสามแบบ

สำหรับแต่ละอย่าง จดว่าอะไรมีค่า ใครต้องการเข้าถึงอย่างชอบธรรม ใครอาจใช้ในทางที่ผิด และผลที่ตามมาจะเป็นอย่างไรหากถูกเปิดเผย ถูกแก้ไข หรือหายไปเฉยๆ คำถามสุดท้ายคือคำถามที่ทีมมักข้ามไป และเป็นคำถามที่ให้การดำเนินการที่มีประโยชน์ที่สุด

รวมถึงผู้ที่ข้อมูลของพวกเขาปรากฏในบันทึกเหล่านั้น ไม่ใช่แค่เครื่องมือขององค์กร รายชื่อผู้บริจาคคือรายการข้อมูลของผู้อื่น และกรอบความคิดนี้เปลี่ยนปริมาณความระมัดระวังที่เหมาะสม รายชื่อผู้บริจาคคือรายการข้อมูลของผู้อื่น และกรอบความคิดนี้เปลี่ยนปริมาณความระมัดระวังที่เหมาะสม

คู่มือการวางแผนของ EFF จัดโครงสร้างเรื่องนี้รอบสินทรัพย์ ผู้โจมตี ความน่าจะเป็น ผลกระทบ ความพยายาม และพันธมิตร สิ่งที่ทำให้ใช้ได้กับทีมเล็กคือคู่มือขอให้คุณเลือกว่าจะให้ความสนใจจำกัดไปที่ไหน แทนที่จะสัญญาว่าทุกอย่างจะปลอดภัย

บัญชีและเส้นทางกู้คืน

ระบุว่าใครควบคุมอีเมล พื้นที่จัดเก็บคลาวด์ การจดทะเบียนโดเมน และการเข้าถึงระดับผู้ดูแลระบบ จากนั้นตรวจสอบว่าเป็นบัญชีที่ได้รับอนุญาตแยกกันหรือเป็นการล็อกอินร่วมกันหนึ่งบัญชีที่สามคนรู้ การล็อกอินร่วมกันเปลี่ยนทุกการจากไปเป็นการรีเซ็ตรหัสผ่านที่ไม่มีใครตรวจสอบได้

เปิดใช้การยืนยันตัวตนหลายปัจจัยที่รองรับสำหรับบัญชีที่สำคัญ และจดว่าเกิดอะไรขึ้นเมื่อพนักงานหรืออาสาสมัครจากไป รวมถึงวิธีลงทะเบียนอุปกรณ์ทดแทน เพราะขั้นตอนนั้นคือสิ่งที่สร้างรหัสผ่านร่วมถัดไป การเข้าถึงที่ให้ไปเพียงอย่างเดียวคือการเข้าถึงที่สะสมอย่างเงียบๆ

วางแผนการกู้คืนขณะที่ทุกอย่างยังทำงานอยู่ รู้ว่าข้อมูลใดมีสำเนาอิสระ ใครกู้คืนได้ และทีมติดต่อฝ่ายสนับสนุนอย่างไรเมื่ออีเมลปกติหรือเครือข่ายส่วนตัวใช้ไม่ได้ กล่องทำเครื่องหมายที่อ้างว่าสำรองข้อมูลเปิดอยู่ไม่ได้พิสูจน์อะไรเลย การกู้คืนที่ใครสักคนทำจริงพิสูจน์ได้มาก

ตั้งผู้รับผิดชอบคนที่สองสำหรับบัญชีสำคัญ กล่องจดหมายส่วนตัวของอาสาสมัครต้องไม่ใช่ทางเดียวกลับไปยังเว็บไซต์ขององค์กรเอง และประโยคเดียวนั้นป้องกันสัปดาห์ที่แย่มากได้ทั้งประเภท

มอบงานเฉพาะอย่างหนึ่งให้ VPN

หากพนักงานต้องการเข้าถึงบริการออฟฟิศส่วนตัว อุโมงค์ที่รองรับเป็นวิธีที่สมเหตุสมผลในการมอบสิ่งนั้น จำกัดรายการการเข้าถึงไว้ที่คน อุปกรณ์ และบริการที่ต้องการ และปล่อยการยืนยันตัวตนของบริการไว้ที่เดิม

หากทีมทำงานผ่านแอปพลิเคชันคลาวด์ที่กำหนดค่าอย่างดีทั้งหมด ให้กำหนดว่าโครงอุโมงค์ใหม่จะเปลี่ยนอะไรจริงก่อนซื้อ ในองค์กรขนาดเล็กหลายแห่งคำตอบที่ซื่อตรงคือไม่มีอะไรที่วัดได้ และเงินจำนวนเดียวกันที่ใช้กับสุขอนามัยของบัญชีและการกู้คืนที่ทดสอบแล้วจะทำได้มากกว่า

เครื่องมือสร้างความไม่ระบุตัวตนก็เป็นเรื่องเดียวกันในอีกทิศทาง มันจัดการความสัมพันธ์กับผู้สังเกตบางอย่าง ไม่ใช่ทุกความเสี่ยงขององค์กร และไม่ใช่สิ่งทดแทนการจัดการข้อมูลผู้รับประโยชน์ที่ละเอียดอ่อนอย่างระมัดระวัง

เมื่องานเกี่ยวข้องกับภัยคุกคามที่เจาะจงหรือข้อมูลที่ละเอียดอ่อนเป็นพิเศษ ให้นำความช่วยเหลือที่มีคุณสมบัติเหมาะสมมาใช้ในบริบทนั้น ข้อแนะนำทั่วไปจากองค์กรเพื่อนร่วมวงการไม่ใช่การประเมินภัยคุกคาม

แผนหนึ่งหน้ามีอะไรบ้าง

จบด้วยรายการสั้นๆ ไม่ใช่เอกสารที่ไม่มีใครอ่าน ความเสี่ยงที่ยังไม่แก้ไขซึ่งมีผลกระทบมากที่สุด การดำเนินการที่เลือกสำหรับแต่ละข้อ ผู้รับผิดชอบ และวันทบทวนครั้งถัดไป

หนึ่งหน้าเพียงพอเพราะมันมีไว้ให้ปรับปรุง กลับมาดูอีกครั้งเมื่อมีบริการใหม่ เมื่ออาสาสมัครเข้าร่วมหรือจากไป และเมื่อความสัมพันธ์ในการแบ่งปันข้อมูลเปลี่ยนไป

นี่คือโปรแกรมความปลอดภัยที่ทีมเล็กๆ ดูแลรักษาได้จริง และ VPN ได้ที่ของมันภายในนั้นด้วยการแก้ปัญหาที่มีคนจดไว้