L'accés VPN per BYOD també és una decisió de conservació de dades
Un sí o un no al costat de l'accés VPN deixa sense resposta la part difícil. Decidiu per separat la connexió, l'ús de recursos i la conservació local, i després trieu l'entorn.
La petició arriba com una sola frase: pot aquesta persona fer servir la VPN des del seu propi portàtil? Respondre amb un sí o un no no resol gairebé res. Dins la pregunta s'amaguen tres permisos separats, i fallen de maneres diferents. Tracteu el túnel com la part fàcil i la decisió sobre les dades com la que necessita un responsable.
Partiu la sol·licitud en tres permisos
Descriviu primer el resultat útil i estret: llegir una col·lecció de documents, editar registres en una aplicació concreta o administrar un servidor específic. Després decidiu cada permís pel seu compte.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Pot ser que un revisor necessiti accés de lectura a una col·lecció sense accés al recurs compartit general i sense permís per sincronitzar una carpeta sencera del departament. Una ruta àmplia de subxarxa no ho pot expressar, i un compte d'aplicació només de lectura no impedeix que una persona es quedi amb el que la pantalla li mostra.
Trieu l'entorn de treball a partir de la regla de dades
Si les còpies locals aprovades són realment necessàries, definiu on poden viure, com es protegeixen, quant de temps es queden i qui les elimina. Incloeu les còpies de seguretat i els serveis de sincronització personals en aquesta decisió, perquè tornen a copiar el fitxer segons el seu propi calendari. Revocar més tard l'accés a la VPN no recupera un document que ja és al núvol d'algú.
Si la feina ha de quedar dins d'un entorn gestionat, un escriptori remot redueix la necessitat de col·locar fitxers localment. No és una frontera automàtica de no-còpia. La referència de propietats RDP de Microsoft documenta la redirecció del porta-retalls per separat de la redirecció d'unitats, així que reviseu les polítiques efectives de client i de servei del vostre desplegament en lloc de suposar que una sessió d'escriptori desactiva tots dos canals.
Després mireu més enllà dels canals evidents. Les aplicacions tenen funcions d'exportació, els clients de correu tenen botons d'adjunció, i una càmera de telèfon apuntada a una pantalla és un mètode de transferència que ningú no pot pedaçar. Bloquejar un canal és un control real; anomenar-lo garantia contra la còpia és com s'escriu una política que no es pot complir.
Si el flux de treball permès no pot complir el requisit de dades, la resposta és un dispositiu gestionat o un altre acord d'accés. El xifratge del túnel no canvia què pot fer la persona amb el que veu. Digueu-ho a l'acta de decisió en lloc de deixar-ho implícit. Si no, el següent revisor aprova la mateixa petició amb la mateixa llacuna.
Feu de la postura del dispositiu una condició, no un certificat
Definiu els requisits de punt final que l'organització pot avaluar i donar suport de veritat: un sistema operatiu mantingut, protecció en funcionament, salvaguardes del compte, el client d'accés admès. Després digueu què passa quan el dispositiu deixa de complir-los, perquè aquesta és la meitat de la política que tothom oblida escriure.
- Un resultat de postura descriu les condicions comprovades en aquell moment, no el comportament futur del portàtil.
- L'autorització d'aplicacions i les restriccions de xarxa es mantenen després de l'admissió.
- L'accés ampli a l'oficina no es dedueix d'un sol escaneig completat.
- Els requisits de monitoratge i gestió necessiten l'acceptació informada del responsable.
Una política que depèn de controls que l'empleat no ha acceptat, o que l'organització no pot operar, és un document i no una frontera. Digueu-ho amb claredat, i oferiu l'alternativa gestionada allà on la llacuna no es pot tancar.
Decidiu qui tanca la sessió i les dades
Abans de l'aprovació, anomeneu la persona responsable de retirar l'accés, de gestionar un dispositiu perdut i de qualsevol material de l'empresa conservat localment. Proveu la feina prevista amb un compte ordinari, i confirmeu que els recursos no relacionats no estan disponibles allà on el disseny diu que no ho haurien d'estar.
La decisió acabada es llegeix com una frase amb quatre caselles: què pot fer servir la persona, des de quin dispositiu admissible, per quin punt d'entrada, amb quin permís de dades locals. Qualsevol cosa més curta és un sí o un no al costat de les paraules accés VPN, i deixa sense resposta la part conseqüent de la petició.