Dobry OPSEC nie zaczyna się od Tora, VPN-u ani nowego laptopa. Zaczyna się od pytania: przed kim, co i przez jaki czas chronisz? Bez tej odpowiedzi łatwo zbudować kosztowny zestaw narzędzi, który nie chroni przed realnym problemem.
1. Nazwij zasoby i zagrożenia
Zapisz, co ma pozostać chronione: konto, urządzenie, dokumenty, lokalizacja, relacje między osobami albo ciągłość pracy. Potem nazwij realistycznego przeciwnika. Inne zabezpieczenia są potrzebne przed przypadkową utratą telefonu, inne przed oszustem przejmującym konto, a jeszcze inne przed analizą prowadzoną przez organizację dysponującą czasem i danymi z wielu źródeł.
Nie używaj ogólnego celu „chcę być anonimowy”. Zamień go na testowalne zdania, na przykład:
- prywatna korespondencja nie ma być widoczna na służbowym komputerze,
- utrata telefonu nie może otworzyć poczty i banku,
- publiczny pseudonim nie może być automatycznie połączony z prywatnym adresem e-mail,
- awaria jednego konta nie może zablokować odzyskania pozostałych.
2. Rozdziel tożsamości i role
Najczęstszy błąd to łączenie rozdzielonych narzędzi wspólnym szczegółem. Ten sam e-mail odzyskiwania, numer telefonu, nick, zdjęcie, sposób pisania albo godziny aktywności potrafią skleić profile.
Rozdzielenie powinno obejmować co najmniej:
- konta i adresy e-mail,
- profile przeglądarki albo oddzielne systemy,
- pliki i ich metadane,
- kanały płatności, jeśli są częścią modelu zagrożeń,
- sposób odzyskania dostępu.
Nie każda rola potrzebuje osobnego urządzenia. Każda potrzebuje jednak jasno określonej granicy oraz odpowiedzi, co się stanie po pomyłce.
3. Zabezpiecz urządzenie przed komplikowaniem sieci
Aktualny system, szyfrowanie dysku, blokada ekranu, kopia zapasowa i bezpieczne odzyskiwanie kont są ważniejsze niż rozbudowana trasa sieciowa na zaniedbanym urządzeniu.
Minimum to:
- automatyczne aktualizacje systemu i przeglądarki,
- szyfrowanie całego dysku,
- unikalne hasła oraz MFA odporne na phishing tam, gdzie jest dostępne,
- kopia kodów odzyskiwania poza głównym urządzeniem,
- kopia danych możliwa do odtworzenia,
- usunięcie zbędnych aplikacji i rozszerzeń.
4. Dobierz sieć do modelu zagrożeń
VPN zmienia podmiot widzący wyjście do internetu; nie usuwa kont, telemetryki aplikacji ani odcisku przeglądarki. Tor ogranicza wiedzę pojedynczego elementu trasy, ale nie naprawia logowania na osobiste konto ani dokumentu z nazwiskiem w metadanych.
Jeśli potrzebujesz izolacji, rozważ osobny profil, maszynę wirtualną albo system rozdzielający role. Artykuł o Torze, Whonix i Qubes OS wyjaśnia te warstwy bez obietnicy niewidzialności.
5. Przygotuj procedurę na błąd
OPSEC, którego nie da się utrzymać, kończy się skrótem wykonanym pod presją. Zapisz:
- co robisz po utracie urządzenia,
- z którego kanału potwierdzasz pilną prośbę,
- gdzie są kody odzyskiwania,
- które sesje i tokeny trzeba unieważnić,
- jak informujesz osoby, których może dotyczyć incydent.
Regularnie sprawdzaj procedurę. Bezpieczne środowisko nie jest stanem osiąganym raz — to zestaw granic, które można sprawdzić i poprawić.
Jeśli potrzebujesz oceny konkretnego środowiska, ustal zakres audytu bezpieczeństwa IT zamiast kupować kolejne narzędzie bez modelu zagrożeń.