الوصول إلى VPN عبر BYOD هو أيضًا قرار بشأن الاحتفاظ بالبيانات
كلمة نعم أو لا بجانب الوصول إلى VPN تترك الجزء الصعب دون إجابة. قرر الاتصال واستخدام الموارد والاحتفاظ المحلي كلًا على حدة، ثم اختر البيئة.
يصل الطلب في جملة واحدة: هل يستطيع هذا الشخص استخدام VPN من حاسوبه المحمول؟ الإجابة بنعم أو لا لا تحسم شيئًا تقريبًا. ثلاثة أذونات منفصلة تختبئ داخل السؤال، وكل منها يفشل بطريقة مختلفة. اعتبر النفق الجزء السهل وقرار البيانات هو الجزء الذي يحتاج إلى مسؤول.
قسّم الطلب إلى ثلاثة أذونات
صِف أولًا النتيجة المفيدة الضيقة: قراءة مجموعة مستندات واحدة، تحرير سجلات في تطبيق محدد بالاسم، أو إدارة خادم معين. ثم قرر كل إذن على حدة.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
قد يحتاج المراجع إلى صلاحية قراءة لمجموعة واحدة دون الوصول إلى مشاركة الملفات العامة ودون إذن بمزامنة مجلد قسم كامل. لا يستطيع مسار شبكة فرعية واسع التعبير عن ذلك، وحساب تطبيق للقراءة فقط لا يمنع الشخص من الاحتفاظ بما تعرضه عليه الشاشة.
اختر بيئة العمل انطلاقًا من قاعدة البيانات
إذا كانت النسخ المحلية المعتمدة ضرورية فعلًا، فحدد أين يجوز أن تكون، وكيف تُحمى، وكم تبقى، ومن يزيلها. أدرج النسخ الاحتياطية وخدمات المزامنة الشخصية في ذلك القرار، لأنها تنسخ الملف مرة أخرى وفق جدولها الخاص. سحب الوصول إلى VPN لاحقًا لا يستعيد مستندًا يوجد بالفعل في مساحة سحابية لشخص ما.
إذا كان العمل يجب أن يبقى داخل بيئة مُدارة، فإن سطح المكتب البعيد يقلل الحاجة إلى وضع الملفات محليًا. وهو ليس حدًا تلقائيًا لمنع النسخ. يوثّق مرجع خصائص RDP من Microsoft إعادة توجيه الحافظة بشكل منفصل عن إعادة توجيه محرك الأقراص، لذا راجع سياسات العميل والخدمة الفعلية لنشرك بدلًا من افتراض أن جلسة سطح مكتب تعطّل القناتين.
ثم انظر إلى ما هو أبعد من القنوات الواضحة. للتطبيقات دوال تصدير، ولعملاء البريد أزرار إرفاق، والكاميرا في الهاتف الموجَّهة إلى شاشة هي طريقة نقل لا يستطيع أحد ترقيعها. حجب قناة واحدة ضابط حقيقي؛ أما تسميته ضمانًا ضد النسخ فهو الطريقة التي تُكتب بها سياسة لا يمكن الوفاء بها.
إذا كان سير العمل المسموح لا يستطيع تلبية متطلب البيانات، فالإجابة هي جهاز مُدار أو ترتيب وصول مختلف. التشفير داخل النفق لا يغيّر ما يمكن للشخص فعله بما يراه. قل ذلك في سجل القرار بدلًا من تركه ضمنيًا. وإلا فإن المراجع التالي يوافق على الطلب نفسه بالثغرة نفسها.
اجعل وضع الجهاز شرطًا لا شهادة
حدد متطلبات نقطة النهاية التي تستطيع المؤسسة تقييمها ودعمها فعلًا: نظام تشغيل مُصان، حماية عاملة، ضمانات للحساب، عميل الوصول المدعوم. ثم اذكر ما يحدث عندما يتوقف الجهاز عن الوفاء بها، لأن هذا هو النصف الذي ينسى الجميع كتابته من السياسة.
- نتيجة الوضع تصف الشروط التي فُحصت في تلك اللحظة، لا سلوك الحاسوب المحمول في المستقبل.
- يبقى تفويض التطبيق وقيود الشبكة في مكانهما بعد القبول.
- الوصول المكتبي الواسع لا ينتج عن فحص واحد مكتمل.
- تتطلب متطلبات المراقبة والإدارة قبولًا مستنيرًا من المالك.
السياسة التي تعتمد على ضوابط لم يقبلها الموظف، أو لا تستطيع المؤسسة تشغيلها، هي مستند وليست حدًا. قل ذلك بصراحة، واعرض البديل المُدار حيث لا يمكن سد الثغرة.
قرر من يغلق الجلسة والبيانات
قبل الموافقة، سمِّ الشخص المسؤول عن إزالة الوصول، وعن التعامل مع جهاز مفقود، وعن أي مواد للشركة محفوظة محليًا. اختبر العمل المقصود بحساب عادي، وتأكد من أن الموارد غير ذات الصلة غير متاحة حيث يقول التصميم إنها يجب أن تكون كذلك.
يُقرأ القرار المكتمل كجملة بأربع خانات: ما يمكن للشخص استخدامه، من أي جهاز مؤهل، عبر أي نقطة دخول، وبأي إذن للبيانات المحلية. أي شيء أقصر هو نعم أو لا بجانب كلمتي الوصول إلى VPN، ويترك الجزء ذا العواقب من الطلب دون إجابة.