BYOD VPN-adgang er også en beslutning om dataopbevaring
Et ja eller nej ved siden af VPN-adgang lader den svære del stå ubesvaret. Beslut forbindelse, ressourcebrug og lokal opbevaring hver for sig, og vælg derefter miljøet.
Anmodningen kommer som én sætning: kan denne person bruge VPN fra sin egen bærbare computer? At svare ja eller nej afgør næsten intet. Tre særskilte tilladelser gemmer sig i spørgsmålet, og de fejler på hver sin måde. Betragt tunnelen som den nemme del og databeslutningen som den, der har brug for en ejer.
Del anmodningen op i tre tilladelser
Beskriv først det snævre, nyttige resultat: læs én dokumentsamling, rediger poster i en navngivet applikation, eller administrer en bestemt server. Beslut derefter hver tilladelse for sig.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
En anmelder kan have brug for læseadgang til én samling uden adgang til den fælles filudveksling og uden tilladelse til at synkronisere en hel afdelingsmappe. En bred undernetrute kan ikke udtrykke det, og en skrivebeskyttet applikationskonto forhindrer ikke en person i at beholde det, skærmen viser dem.
Vælg arbejdsmiljøet ud fra datareglen
Hvis godkendte lokale kopier virkelig er nødvendige, skal du definere, hvor de må ligge, hvordan de beskyttes, hvor længe de bliver, og hvem der fjerner dem. Medtag sikkerhedskopier og personlige synkroniseringstjenester i den beslutning, fordi de kopierer filen igen efter deres egen tidsplan. Tilbagekaldelse af VPN-adgang senere henter ikke et dokument tilbage, der allerede ligger i nogens skydrev.
Hvis arbejdet skal blive i et administreret miljø, reducerer et fjernskrivebord behovet for at placere filer lokalt. Det er ikke en automatisk grænse mod kopiering. Microsofts reference for RDP-egenskaber beskriver videresendelse af udklipsholder adskilt fra videresendelse af drev, så kontroller de gældende klient- og servicepolitikker for din udrulning i stedet for at antage, at en skrivebordssession deaktiverer begge kanaler.
Se derefter ud over de åbenlyse kanaler. Applikationer har eksportfunktioner, mailklienter har vedhæftningsknapper, og et telefonkamera rettet mod en skærm er en overførselsmetode, som ingen kan patche. At blokere én kanal er en reel kontrol; at kalde det en garanti mod kopiering er måden, hvorpå man skriver en politik, der ikke kan holdes.
Hvis den tilladte arbejdsgang ikke kan opfylde datakravet, er svaret en administreret enhed eller en anden adgangsordning. Kryptering i tunnelen ændrer ikke, hvad personen kan gøre med det, de kan se. Skriv det i beslutningsprotokollen i stedet for at lade det være underforstået. Ellers godkender den næste anmelder den samme anmodning med det samme hul.
Gør enhedens tilstand til en betingelse, ikke et certifikat
Definer de krav til slutpunkter, som organisationen faktisk kan vurdere og understøtte: et vedligeholdt styresystem, fungerende beskyttelse, kontosikring, den understøttede adgangsklient. Angiv derefter, hvad der sker, når enheden holder op med at opfylde dem, for det er den halvdel af politikken, som alle glemmer at skrive.
- Et tilstandsresultat beskriver de betingelser, der blev kontrolleret i det øjeblik, ikke den bærbare computers fremtidige adfærd.
- Applikationsgodkendelse og netværksbegrænsninger bliver ved med at gælde efter optagelsen.
- Bred kontoradgang følger ikke af en enkelt gennemført scanning.
- Krav om overvågning og styring kræver ejerens informerede accept.
En politik, der afhænger af kontroller, som medarbejderen ikke har accepteret, eller som organisationen ikke kan drive, er et dokument og ikke en grænse. Sig det klart, og tilbyd det administrerede alternativ, hvor hullet ikke kan lukkes.
Beslut, hvem der lukker sessionen og dataene
Før godkendelsen skal du navngive den person, der er ansvarlig for at fjerne adgang, håndtere en mistet enhed og for ethvert virksomhedsmateriale, der opbevares lokalt. Test det tilsigtede arbejde med en almindelig konto, og bekræft, at urelaterede ressourcer ikke er tilgængelige, hvor designet siger, de skal være det.
Den færdige beslutning læses som en sætning med fire pladser: hvad personen kan bruge, fra hvilken kvalificeret enhed, gennem hvilket indgangspunkt, med hvilken tilladelse til lokale data. Alt kortere er et ja eller nej ved siden af ordene VPN-adgang, og det lader den betydningsfulde del af anmodningen stå ubesvaret.