VPN küçük bir kâr amacı gütmeyen kuruluş için güvenlik planı değildir

Küçük kuruluşlar bir tünel satın alır ve artık güvende olduklarını varsayar. Gerçekte olan şey, tünelin tek bir yolculuğun tek bir bacağını koruması, bağışçı tablosunun bağlantıya sahip herkesle paylaşılmaya devam etmesi, alan adının kimsenin güncellemediği bir kartla yenilenmesi ve dava dosyalarını kurtarabilecek tek kişinin molada olmasıdır. VPN yararlı bir kontroldür. Bir plan değildir ve olamaz.

Araç neden en sona gelir

Bir tünel, bir cihaz ile diğer uçtaki ağ arasındaki trafiği korur. Bu gerçek ve belirli bir korumadır ve paylaşılan bir klasörü kimin açabileceği, bir oturum açma sayfasının gerçek olup olmadığı ya da geçen ayın verilerinin hâlâ var olup olmadığı hakkında hiçbir şey söylemez.

Küçük kuruluşlardaki kayıpların çoğu o diğer kapılardan gelir. Hesap ele geçirme, aşırı paylaşılan bir belge ve kurtarılamayan bir dizüstü bilgisayar, çalışan bir VPN'in dokunmadığı üç başarısızlıktır. Hiçbiri birinin tüneli kırmasını gerektirmez.

Araçla başlamak bütçe konuşmasını da tersine çevirir. Sonunda adını koymadığınız bir sorunu çözen bir şeye para ödersiniz, gösterişsiz boşluklar ise kimse yazmadığı için açık kalır.

Üç gerçek iş akışıyla başlayın

Tehdit kataloğu değil, kuruluşun gerçekte yaptığı işi seçin. Üç iş akışı yeterlidir; on tanesi kimsenin bitirmediği bir belge üretir. Bir bağışçı listesi, hassas dava belgelerinden oluşan bir küme ve herkese açık bir web sitesi, üç farklı başarısızlık biçimine sahip üç farklı sorundur.

Her biri için neyin değerli olduğunu, kimin meşru olarak erişime ihtiyaç duyduğunu, kimin kötüye kullanabileceğini ve açıklanır, değiştirilir ya da basitçe kaybolursa sonucun ne olacağını yazın. Son soru ekiplerin atladığı ve en yararlı eylemleri üreten sorudur.

Yalnızca kuruluşun donanımını değil, bilgileri o kayıtlarda görünen kişileri de dahil edin. Bir bağışçı listesi başkalarının bilgilerinin listesidir ve bu çerçeve ne kadar özenin orantılı olduğunu değiştirir. Bir bağışçı listesi başkalarının bilgilerinin listesidir ve bu çerçeve ne kadar özenin orantılı olduğunu değiştirir.

EFF'in planlama rehberi bunu varlıklar, rakipler, olasılık, sonuçlar, çaba ve müttefikler etrafında yapılandırır. Küçük bir ekip için kullanılabilir kılansa, her şeyin güvende olacağına söz vermek yerine sınırlı dikkatin nereye gideceğini seçmenizi istemesidir.

Hesaplar ve kurtarma yolu

E-postayı, bulut depolamayı, alan adı kaydını ve yönetici erişimini kimin kontrol ettiğini belirleyin. Ardından bunların ayrı yetkili hesaplar mı yoksa üç kişinin bildiği tek bir paylaşılan oturum açma mı olduğunu denetleyin. Paylaşılan oturum açmalar her ayrılışı kimsenin denetleyemediği bir parola sıfırlamaya dönüştürür.

Önemli hesaplar için desteklenen çok faktörlü kimlik doğrulamayı açın ve bir çalışan ya da gönüllü ayrıldığında ne olacağını yazın. Yedek bir cihazın nasıl kaydedildiğini de ekleyin, çünkü bir sonraki ortak parolayı yaratan adım odur. Yalnızca verilen erişim sessizce biriken erişimdir.

Her şey hâlâ çalışırken kurtarmayı planlayın. Hangi bilginin bağımsız bir kopyası olduğunu, kimin onu geri yükleyebileceğini ve ekibin olağan e-postası ya da özel ağı kullanılamadığında desteğe nasıl ulaştığını bilin. Yedeklerin açık olduğunu iddia eden bir onay kutusu hiçbir şeyi kanıtlamaz. Birinin gerçekten gerçekleştirdiği bir geri yükleme epeyce şey kanıtlar.

Kritik hesaplar için ikinci bir sahip belirleyin. Bir gönüllünün kişisel posta kutusu, kuruluşun kendi web sitesine dönüşün tek yolu olmamalıdır ve bu tek cümle çok kötü haftaların bütün bir kategorisini önler.

VPN'e tek bir belirli görev verin

Personelin özel bir ofis hizmetine ulaşması gerekiyorsa, desteklenen bir tünel bunu sağlamanın makul bir yoludur. Erişim listesini ihtiyaç duyan kişiler, cihazlar ve hizmetlerle sınırlı tutun ve hizmetin kendi kimlik doğrulamasını olduğu yerde bırakın.

Ekip tamamen iyi yapılandırılmış bulut uygulamaları üzerinden çalışıyorsa, yenisini satın almadan önce yeni bir tünelin gerçekte neyi değiştireceğini belirleyin. Birçok küçük kuruluşta dürüst yanıt ölçülebilir hiçbir şeydir ve hesap hijyenine ve test edilmiş bir geri yüklemeye harcanan aynı para daha fazlasını yapardı.

Anonimlik araçları başka bir yönde aynı hikâyedir. Belirli gözlemci ilişkilerini ele alırlar, her kurumsal riski değil, ve hassas yararlanıcı verilerinin dikkatli işlenmesinin yerini tutmazlar.

İş hedefli tehditleri ya da olağandışı hassas bilgileri içeriyorsa, o bağlam için nitelikli yardım getirin. Bir emsal kuruluşun genel önerisi bir tehdit değerlendirmesi değildir.

Tek sayfalık plan neler içerir

Kimsenin okumadığı bir belge yerine kısa bir listeyle bitirin: sonuçları en ağır çözülmemiş riskler, her biri için seçilen eylem, bir sahip ve bir sonraki gözden geçirme tarihi.

Tek sayfa yeterlidir çünkü gözden geçirilmek üzere tasarlanmıştır. Yeni bir hizmet ortaya çıktığında, bir gönüllü katıldığında ya da ayrıldığında ve bir veri paylaşım ilişkisi değiştiğinde ona geri dönün.

Bu, küçük bir ekibin gerçekten sürdürebileceği bir güvenlik programıdır ve VPN yerini, birinin yazdığı bir sorunu çözerek kazanır.