VPN достъпът през BYOD е също решение за съхранение на данни
Едно да или не до VPN достъпа оставя трудната част без отговор. Решете отделно връзката, използването на ресурси и локалното съхранение, после изберете средата.
Заявката идва като едно изречение: може ли този човек да използва VPN от собствения си лаптоп? Отговорът с да или не не решава почти нищо. Във въпроса се крият три отделни разрешения и те се провалят по различен начин. Приемете тунела за лесната част, а решението за данните — за частта, която се нуждае от собственик.
Разделете заявката на три разрешения
Опишете първо тясно полезния резултат: четене на една колекция документи, редактиране на записи в посочено приложение или администриране на конкретен сървър. После решете всяко разрешение поотделно.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Рецензент може да се нуждае от достъп за четене до една колекция без достъп до общия файлов дял и без право да синхронизира цяла папка на отдел. Широк маршрут в подмрежа не може да изрази това, а профил на приложение само за четене не спира човек да запази това, което екранът му показва.
Изберете работната среда според правилото за данните
Ако одобрените локални копия наистина са необходими, определете къде може да живеят, как се защитават, колко дълго остават и кой ги премахва. Включете в това решение резервните копия и личните услуги за синхронизация, защото те копират файла отново по свой график. Отнемането на VPN достъп по-късно не връща документ, който вече стои в нечие облачно хранилище.
Ако работата трябва да остане в управлявана среда, отдалеченият работен плот намалява нуждата файловете да се поставят локално. Това не е автоматична граница срещу копиране. Справката за свойствата на RDP на Microsoft описва пренасочването на клипборда отделно от пренасочването на дискове, затова проверете действащите клиентски и сървърни политики за вашето внедряване, вместо да предполагате, че сесия на работен плот изключва двата канала.
После погледнете отвъд очевидните канали. Приложенията имат функции за експорт, пощенските клиенти имат бутони за прикачване, а телефонна камера, насочена към екран, е начин за пренос, който никой не може да запуши. Блокирането на един канал е истинска мярка; да го наречете гаранция срещу копиране е как се пише политика, която не може да бъде спазена.
Ако разрешеният работен процес не може да покрие изискването за данни, отговорът е управлявано устройство или друга схема за достъп. Шифроването в тунела не променя какво може да направи човекът с това, което вижда. Кажете го в записа на решението, вместо да го оставите подразбиращо се. Иначе следващият рецензент одобрява същата заявка със същата празнина.
Направете състоянието на устройството условие, а не сертификат
Определете изискванията към крайната точка, които организацията наистина може да оцени и поддържа: поддържана операционна система, работеща защита, предпазни мерки за профила, поддържан клиент за достъп. После кажете какво се случва, когато устройството спре да ги изпълнява, защото това е половината от политиката, която всички забравят да напишат.
- Резултатът за състоянието описва проверените в този момент условия, а не бъдещото поведение на лаптопа.
- Оторизацията на приложенията и мрежовите ограничения остават след допускането.
- Широкият офис достъп не следва от едно завършено сканиране.
- Изискванията за мониторинг и управление се нуждаят от информирано приемане от собственика.
Политика, която зависи от мерки, които служителят не е приел или организацията не може да прилага, е документ, а не граница. Кажете го ясно и предложете управляваната алтернатива там, където празнината не може да се затвори.
Решете кой затваря сесията и данните
Преди одобрение посочете човека, отговорен за премахването на достъпа, за работа със загубено устройство и за всеки фирмен материал, съхраняван локално. Тествайте предвидената работа с обикновен профил и потвърдете, че несвързаните ресурси са недостъпни там, където проектът казва, че трябва да бъдат.
Готовото решение се чете като изречение с четири места: какво може да използва човекът, от кое подходящо устройство, през коя точка за вход, с какво разрешение за локални данни. Всичко по-кратко е да или не до думите VPN достъп и оставя съществената част от заявката без отговор.