VPN không phải là kế hoạch bảo mật cho một tổ chức phi lợi nhuận nhỏ

Các tổ chức nhỏ mua một đường hầm và cho rằng mình đã an toàn. Điều thực sự xảy ra là đường hầm chỉ bảo vệ một chặng của một hành trình, trong khi bảng tính nhà tài trợ vẫn được chia sẻ với bất kỳ ai có liên kết, tên miền được gia hạn bằng một thẻ mà không ai cập nhật, và người duy nhất có thể khôi phục hồ sơ vụ việc đang nghỉ. VPN là một biện pháp kiểm soát hữu ích. Nó không phải là kế hoạch, và không thể là kế hoạch.

Vì sao công cụ đến sau cùng

Đường hầm bảo vệ lưu lượng giữa một thiết bị và mạng ở đầu bên kia. Đó là sự bảo vệ thật và cụ thể, và nó không nói gì về việc ai được mở một thư mục dùng chung, trang đăng nhập có thật hay không, hay dữ liệu tháng trước còn tồn tại hay không.

Phần lớn tổn thất ở tổ chức nhỏ đến qua những cánh cửa khác đó. Chiếm tài khoản, một tài liệu bị chia sẻ quá rộng và một laptop không thể khôi phục là ba thất bại mà một VPN đang hoạt động không chạm tới. Không cái nào đòi hỏi ai đó phải phá đường hầm.

Bắt đầu bằng công cụ cũng đảo ngược cuộc trò chuyện về ngân sách. Cuối cùng bạn trả tiền cho thứ giải quyết một vấn đề mà bạn chưa đặt tên, trong khi những lỗ hổng kém hào nhoáng vẫn mở vì không ai viết chúng ra.

Bắt đầu với ba quy trình làm việc thật

Chọn công việc tổ chức thực sự làm thay vì một danh mục mối đe dọa. Ba quy trình là đủ; mười quy trình tạo ra một tài liệu không ai hoàn thành. Danh sách nhà tài trợ, một bộ hồ sơ vụ việc nhạy cảm và một trang web công khai là ba vấn đề khác nhau với ba kiểu thất bại khác nhau.

Với mỗi cái, hãy ghi ra điều gì quý giá, ai có nhu cầu truy cập chính đáng, ai có thể lạm dụng, và hậu quả sẽ là gì nếu nó bị tiết lộ, bị thay đổi hay đơn giản là biến mất. Câu hỏi cuối cùng là câu mà các nhóm hay bỏ qua và là câu tạo ra những hành động hữu ích nhất.

Hãy tính cả những người có thông tin nằm trong các hồ sơ đó, không chỉ thiết bị của tổ chức. Danh sách nhà tài trợ là danh sách thông tin của người khác, và cách đóng khung đó thay đổi mức độ cẩn trọng tương xứng. Danh sách nhà tài trợ là danh sách thông tin của người khác, và cách đóng khung đó thay đổi mức độ cẩn trọng tương xứng.

Hướng dẫn lập kế hoạch của EFF cấu trúc điều này quanh tài sản, đối thủ, khả năng xảy ra, hậu quả, nỗ lực và đồng minh. Điều khiến nó dùng được cho một nhóm nhỏ là nó yêu cầu bạn chọn nơi sự chú ý hạn chế sẽ đi thay vì hứa rằng mọi thứ sẽ an toàn.

Tài khoản và con đường khôi phục

Xác định ai kiểm soát email, lưu trữ đám mây, đăng ký tên miền và quyền truy cập quản trị. Sau đó kiểm tra xem đó là các tài khoản được ủy quyền riêng biệt hay một lần đăng nhập dùng chung mà ba người biết. Đăng nhập dùng chung biến mỗi lần rời đi thành một lần đặt lại mật khẩu mà không ai có thể kiểm toán.

Bật xác thực đa yếu tố được hỗ trợ cho những tài khoản quan trọng, và ghi lại điều gì xảy ra khi một nhân viên hoặc tình nguyện viên rời đi. Cũng ghi cả cách một thiết bị thay thế được đăng ký, vì chính bước đó tạo ra mật khẩu dùng chung tiếp theo. Quyền truy cập chỉ được cấp là quyền truy cập âm thầm tích tụ.

Lập kế hoạch khôi phục khi mọi thứ vẫn còn hoạt động. Biết thông tin nào có bản sao độc lập, ai có thể khôi phục nó, và nhóm tiếp cận hỗ trợ thế nào khi email thường lệ hoặc mạng riêng không khả dụng. Một ô đánh dấu khẳng định bản sao lưu đã bật không chứng minh được gì. Một lần khôi phục mà ai đó thực sự đã làm chứng minh được khá nhiều.

Chỉ định một người phụ trách thứ hai cho các tài khoản quan trọng. Hộp thư cá nhân của một tình nguyện viên không được là con đường duy nhất trở lại trang web của chính tổ chức, và một câu đó ngăn được cả một nhóm những tuần rất tồi tệ.

Giao cho VPN một nhiệm vụ cụ thể

Nếu nhân viên cần tiếp cận một dịch vụ văn phòng riêng, một đường hầm được hỗ trợ là cách hợp lý để cung cấp điều đó. Giữ danh sách truy cập ở những người, thiết bị và dịch vụ cần nó, và để phần xác thực riêng của dịch vụ ở nguyên chỗ của nó.

Nếu nhóm làm việc hoàn toàn qua các ứng dụng đám mây được cấu hình tốt, hãy xác định đường hầm mới thực sự sẽ thay đổi điều gì trước khi mua. Ở nhiều tổ chức nhỏ, câu trả lời trung thực là không có gì đo được, và cùng số tiền đó nếu chi cho vệ sinh tài khoản và một lần khôi phục đã kiểm thử sẽ làm được nhiều hơn.

Các công cụ ẩn danh cũng là câu chuyện đó theo hướng khác. Chúng xử lý những quan hệ quan sát cụ thể, không phải mọi rủi ro tổ chức, và chúng không thay thế việc xử lý cẩn thận dữ liệu nhạy cảm của người thụ hưởng.

Khi công việc liên quan đến mối đe dọa có chủ đích hoặc thông tin nhạy cảm bất thường, hãy đưa vào sự trợ giúp có chuyên môn cho bối cảnh đó. Một khuyến nghị chung từ một tổ chức đồng cấp không phải là đánh giá mối đe dọa.

Kế hoạch một trang gồm những gì

Kết thúc bằng một danh sách ngắn thay vì một tài liệu không ai đọc: những rủi ro chưa giải quyết hệ quả nặng nhất, hành động đã chọn cho mỗi cái, một người phụ trách và ngày rà soát tiếp theo.

Một trang là đủ vì nó được dành để sửa đổi. Hãy quay lại nó khi có dịch vụ mới, khi một tình nguyện viên gia nhập hoặc rời đi, và khi một quan hệ chia sẻ dữ liệu thay đổi.

Đó là một chương trình bảo mật mà một nhóm nhỏ thực sự có thể duy trì, và VPN giành được vị trí của mình trong đó bằng việc giải quyết một vấn đề mà ai đó đã viết ra.