VPN — це не план безпеки для невеликої неприбуткової організації

Невеликі організації купують тунель і вважають, що тепер вони в безпеці. Насправді тунель захищає одну ділянку однієї подорожі, а таблиця жертводавців залишається доступною всім, хто має посилання, домен поновлюється карткою, яку ніхто не оновив, і єдина людина, здатна відновити матеріали справ, перебуває на перерві. VPN — корисний захід. Але це не план, і він не може ним бути.

Чому інструмент іде останнім

Тунель захищає трафік між пристроєм і мережею на іншому кінці. Це реальний і конкретний захист, і він нічого не каже про те, хто може відкрити спільну теку, чи сторінка входу була справжньою, чи збереглися дані минулого місяця.

Більшість втрат у невеликих організаціях надходить через ці інші двері. Захоплення облікового запису, занадто широко відкритий документ і невідновлюваний ноутбук — три збої, яких робочий VPN не торкається. Жоден із них не вимагає, щоб хтось зламав тунель.

Початок з інструмента перевертає й розмову про бюджет. Зрештою ви платите за те, що вирішує проблему, яку ви не назвали, а непримітні прогалини залишаються відкритими, бо ніхто їх не записав.

Почніть із трьох реальних робочих процесів

Виберіть роботу, яку організація справді виконує, а не каталог загроз. Трьох робочих процесів достатньо; десять дають документ, який ніхто не доводить до кінця. Список жертводавців, набір чутливих документів справи та публічний вебсайт — три різні проблеми з трьома різними сценаріями збою.

Для кожного запишіть, що є цінним, кому законно потрібен доступ, хто може цим зловживати і яким буде наслідок, якщо це розкриють, змінять або просто втратять. Останнє питання — те, яке команди проминають, і те, яке дає найкорисніші дії.

Включіть людей, чиї дані є в цих записах, а не лише обладнання організації. Список жертводавців — це список даних інших людей, і така рамка змінює те, скільки турботи є пропорційним. Список жертводавців — це список даних інших людей, і така рамка змінює те, скільки турботи є пропорційним.

Посібник EFF із планування будує це навколо активів, противників, імовірності, наслідків, зусиль і союзників. Для невеликої команди його робить придатним те, що він просить вибрати, куди спрямувати обмежену увагу, замість обіцянки, що все буде в безпеці.

Облікові записи та шлях відновлення

Визначте, хто контролює пошту, хмарне сховище, реєстрацію домену й адміністративний доступ. Потім перевірте, чи це окремі уповноважені облікові записи, чи один спільний вхід, який знають троє людей. Спільні входи перетворюють кожен вихід на скидання пароля, яке ніхто не може перевірити.

Увімкніть підтримувану багатофакторну автентифікацію для важливих облікових записів і запишіть, що відбувається, коли працівник або волонтер іде. Включіть і те, як реєструється замінний пристрій, бо саме цей крок створює наступний спільний пароль. Доступ, який лише видають, — це доступ, що тихо накопичується.

Плануйте відновлення, поки все ще працює. Знайте, які дані мають незалежну копію, хто може їх відновити і як команда отримує підтримку, коли її звичайна пошта або приватна мережа недоступні. Галочка, яка стверджує, що резервні копії ввімкнено, нічого не доводить. Відновлення, яке хтось справді виконав, доводить чимало.

Призначте другого відповідального для критичних облікових записів. Особиста поштова скринька волонтера не повинна бути єдиним шляхом назад на власний вебсайт організації, і це одне речення запобігає цілій категорії дуже поганих тижнів.

Дайте VPN одне конкретне завдання

Якщо працівникам потрібно потрапити до приватного офісного сервісу, підтримуваний тунель — розумний спосіб це забезпечити. Тримайте список доступу на людях, пристроях і сервісах, яким він потрібен, і залиште власну автентифікацію сервісу там, де вона є.

Якщо команда працює повністю через добре налаштовані хмарні застосунки, визначте, що новий тунель справді змінить, перш ніж купувати. У багатьох невеликих організаціях чесна відповідь — нічого вимірюваного, і ті самі гроші, витрачені на гігієну облікових записів і перевірене відновлення, зробили б більше.

Інструменти анонімності — та сама історія в іншому напрямку. Вони стосуються певних стосунків із спостерігачами, а не кожного організаційного ризику, і не замінюють дбайливого поводження з чутливими даними бенефіціарів.

Там, де робота включає цілеспрямовані загрози або незвично чутливу інформацію, залучіть кваліфіковану допомогу для цього контексту. Загальна рекомендація від партнерської організації не є оцінкою загроз.

Що містить план на одній сторінці

Заверште коротким списком, а не документом, який ніхто не читає: найзначущіші невирішені ризики, обрана дія для кожного, відповідальний і дата наступного перегляду.

Однієї сторінки достатньо, бо її передбачено переглядати. Повертайтеся до неї, коли з'являється новий сервіс, коли волонтер приходить або йде і коли змінюються відносини обміну даними.

Це програма безпеки, яку невелика команда справді може підтримувати, і VPN заслуговує в ній місце, вирішуючи проблему, яку хтось записав.