Доступ да VPN праз BYOD — гэта таксама рашэнне аб захаванні даных
Так або не побач з доступам да VPN пакідае складаную частку без адказу. Вырашыце асобна пытанні злучэння, выкарыстання рэсурсаў і лакальнага захавання, а затым выбірайце асяроддзе.
Запыт прыходзіць адным сказам: ці можа гэты чалавек карыстацца VPN са свайго ноўтбука? Адказ так або не амаль нічога не вырашае. У пытанні хаваюцца тры асобныя дазволы, і яны адмаўляюць па-рознаму. Лічыце тунель лёгкай часткай, а рашэнне аб даных — тым, якому патрэбны ўласнік.
Падзяліце запыт на тры дазволы
Спачатку апішыце вузкі карысны вынік: чытанне аднаго зборніка дакументаў, рэдагаванне запісаў у названай праграме або адміністраванне пэўнага сервера. Затым вырашыце кожны дазвол асобна.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Рэцэнзенту можа спатрэбіцца чытанне аднаго зборніка без доступу да агульнага файлавага сховішча і без дазволу сінхранізаваць цэлую папку аддзела. Шырокі маршрут падсеткі гэтага не выражае, а ўліковы запіс праграмы толькі для чытання не перашкаджае чалавеку пакінуць сабе тое, што паказвае экран.
Выбірайце працоўнае асяроддзе зыходзячы з правіла аб даных
Калі зацверджаныя лакальныя копіі сапраўды неабходныя, вызначце, дзе яны могуць знаходзіцца, як ахоўваюцца, колькі застаюцца і хто іх выдаляе. Уключыце ў гэтае рашэнне рэзервовыя копіі і асабістыя службы сінхранізацыі, бо яны капіююць файл зноў па сваім раскладзе. Адкліканне доступу да VPN пазней не верне дакумент, які ўжо ляжыць у чыімсьці воблачным дыску.
Калі праца павінна заставацца ў кіраваным асяроддзі, аддалены працоўны стол памяньшае патрэбу размяшчаць файлы лакальна. Гэта не аўтаматычная мяжа забароны капіравання. Даведнік па ўласцівасцях RDP ад Microsoft апісвае перанакіраванне буфера абмену асобна ад перанакіравання дыска, таму правярайце дзейныя палітыкі кліента і службы для вашага разгортвання, а не мяркуйце, што сеанс працоўнага стала адключае абодва каналы.
Затым паглядзіце за межы відавочных каналаў. Праграмы маюць функцыі экспарту, паштовыя кліенты маюць кнопкі прымацавання, а камера тэлефона, накіраваная на экран, — гэта спосаб перадачы, які ніхто не можа заплатку. Блакаванне аднаго канала — рэальная мера; называць яго гарантыяй супраць капіравання — гэта як пішуць палітыку, якую немагчыма выканаць.
Калі дазволены працоўны працэс не можа задаволіць патрабаванне да даных, адказ — кіраваная прылада або іншая схема доступу. Шыфраванне ў тунелі не змяняе таго, што чалавек можа зрабіць з тым, што бачыць. Скажыце гэта ў запісе рашэння, а не пакідайце дамэсці. Інакш наступны рэцэнзент ухваліць той самы запыт з той самай прагалінай.
Зрабіце стан прылады ўмовай, а не сертыфікатам
Вызначце патрабаванні да канчатковай прылады, якія арганізацыя сапраўды можа ацаніць і падтрымаць: абслужаная аперацыйная сістэма, працоўная абарона, гарантыі ўліковага запісу, падтрыманы кліент доступу. Затым скажыце, што адбываецца, калі прылада перастае ім адпавядаць, бо гэта тая палова палітыкі, якую ўсе забываюць напісаць.
- Вынік стану апісвае ўмовы, правераныя ў той момант, а не будучыя паводзіны ноўтбука.
- Аўтарызацыя праграм і сеткавыя абмежаванні застаюцца ў сіле пасля допуску.
- Шырокі доступ да офіса не вынікае з аднаго завершанага сканавання.
- Патрабаванні маніторынгу і кіравання патрабуюць усвядомленага прыняцця ўласнікам.
Палітыка, якая залежыць ад мер, не прынятых супрацоўнікам ці недаступных арганізацыі, — гэта дакумент, а не мяжа. Скажыце гэта проста і прапануйце кіраваную альтэрнатыву там, дзе прагаліну не зачыніць.
Вырашыце, хто закрывае сеанс і даныя
Перад ухвалой назвіце чалавека, адказнага за зняцце доступу, за апрацоўку страчанай прылады і за любыя матэрыялы кампаніі, што захоўваюцца лакальна. Праверце планаваную працу звычайным уліковым запісам і пацвердзіце, што непатрэбныя рэсурсы недаступныя там, дзе гэта прадугледжана праектам.
Гатовае рашэнне чытаецца як сказ з чатырма месцамі: што чалавек можа выкарыстоўваць, з якой дапушчальнай прылады, праз які пункт уваходу, з якім дазволам на лакальныя даныя. Усё карацейшае — гэта так або не побач са словамі доступ да VPN, і яно пакідае істотную частку запыту без адказу.