BYOD-VPN-toegang is ook 'n besluit oor databewaring
'n Ja of nee langs VPN-toegang laat die moeilike deel onbeantwoord. Besluit afsonderlik oor verbinding, hulpbrongebruik en plaaslike bewaring, en kies dan die omgewing.
Die versoek kom as een sin: kan hierdie persoon die VPN vanaf hul eie skootrekenaar gebruik? Om dit met 'n ja of 'n nee te beantwoord, besleg byna niks. Drie afsonderlike toestemmings skuil in die vraag, en hulle faal op verskillende maniere. Beskou die tonnel as die maklike deel en die databesluit as die deel wat 'n eienaar nodig het.
Verdeel die versoek in drie toestemmings
Beskryf eers die eng, nuttige uitkoms: lees een dokumentversameling, wysig rekords in 'n genoemde toepassing, of administreer 'n spesifieke bediener. Besluit dan oor elke toestemming op sy eie.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Dit kan wees dat 'n keurder leestoegang tot een versameling nodig het sonder toegang tot die algemene lerdeling en sonder toestemming om 'n hele departementele vouer te sinkroniseer. 'n Bree subnetroete kan dit nie uitdruk nie, en 'n lees-alleen toepassingsrekening verhoed nie dat iemand hou wat die skerm aan hulle wys nie.
Kies die werkomgewing op grond van die datareel
As goedgekeurde plaaslike kopiee werklik nodig is, bepaal waar hulle mag woon, hoe hulle beskerm word, hoe lank hulle bly en wie hulle verwyder. Sluit rugsteun en persoonlike sinkronisasiedienste by daardie besluit in, want hulle kopieer die leer weer op hul eie skedule. Om later VPN-toegang te herroep, kry nie 'n dokument terug wat reeds in iemand se wolkstoor sit nie.
As die werk in 'n bestuurde omgewing moet bly, verminder 'n afstandlessenaar die noodsaak om lers plaaslik te plaas. Dit is nie outomaties 'n geen-kopie-grens nie. Microsoft se RDP-eienskapverwysing beskryf knipbordomleiding afsonderlik van skyfomleiding, so kyk na die effektiewe klient- en diensbeleide vir jou ontplooiing in plaas daarvan om te aanvaar dat 'n lessenaarsessie albei kanale deaktiveer.
Kyk dan verby die ooglopende kanale. Toepassings het uitvoerfunksies, poskliante het aanheg-knoppies, en 'n selfoonkamera wat op 'n skerm gerig is, is 'n oordragmetode wat niemand kan regmaak nie. Om een kanaal te blokkeer is 'n werklike beheer; om dit 'n waarborg teen kopiering te noem, is hoe 'n beleid geskryf word wat nie nagekom kan word nie.
As die toegelate werkvloei nie aan die datadoelwit kan voldoen nie, is die antwoord 'n bestuurde toestel of 'n ander toegangsreeling. Versleuteling in die tonnel verander nie wat die persoon met wat hulle sien kan doen nie. Se dit in die besluitregister eerder as om dit geimpliseer te laat. Andersins keur die volgende keurder dieselfde versoek met dieselfde gaping goed.
Maak toestelpostuur 'n voorwaarde, nie 'n sertifikaat nie
Bepaal die eindpuntvereistes wat die organisasie werklik kan assesseer en ondersteun: 'n onderhoude bedryfstelsel, werkende beskerming, rekeningveilighede, die ondersteunde toegangsklient. Meld dan wat gebeur wanneer die toestel ophou om daaraan te voldoen, want dit is die helfte van die beleid wat almal vergeet om te skryf.
- 'n Postuurresultaat beskryf die toestande wat op daardie oomblik nagegaan is, nie die skootrekenaar se toekomstige gedrag nie.
- Toepassingmagtiging en netwerkbeperkings bly in plek na toelating.
- Breed kantooroegang volg nie uit 'n enkele voltooide skandering nie.
- Vereistes vir monitering en bestuur het die eienaar se ingeligte aanvaarding nodig.
'n Beleid wat afhang van beheermaatreels wat die werknemer nie aanvaar het nie, of wat die organisasie nie kan bedryf nie, is 'n dokument eerder as 'n grens. Se dit duidelik, en bied die bestuurde alternatief waar die gaping nie gesluit kan word nie.
Besluit wie die sessie en die data sluit
Noem voor goedkeuring die persoon wat verantwoordelik is vir die verwydering van toegang, vir die hantering van 'n verlore toestel en vir enige maatskappymateriaal wat plaaslik gehou word. Toets die beoogde werk met 'n gewone rekening, en bevestig dat onverwante hulpbronne onbeskikbaar is waar die ontwerp se hulle moet wees.
Die voltooide besluit lees soos 'n sin met vier gleuwe: wat die persoon kan gebruik, vanaf watter geskikte toestel, deur watter toegangspunt, met watter plaaslike-data-toestemming. Enigiets korter is 'n ja of 'n nee langs die woorde VPN-toegang, en dit laat die gevolglike deel van die versoek onbeantwoord.