BYOD-VPN-Zugang ist auch eine Entscheidung über Datenaufbewahrung
Ein Ja oder Nein neben VPN-Zugang lässt den schwierigen Teil unbeantwortet. Entscheiden Sie Verbindung, Ressourcennutzung und lokale Aufbewahrung getrennt und wählen Sie dann die Umgebung.
Die Anfrage kommt als ein Satz: Kann diese Person das VPN von ihrem eigenen Laptop aus nutzen? Ein Ja oder Nein klärt fast nichts. Drei getrennte Berechtigungen verbergen sich in der Frage, und sie scheitern auf unterschiedliche Weise. Behandeln Sie den Tunnel als den einfachen Teil und die Datenentscheidung als den, der einen Verantwortlichen braucht.
Teilen Sie die Anfrage in drei Berechtigungen
Beschreiben Sie zuerst das eng begrenzte, nützliche Ergebnis: eine Dokumentsammlung lesen, Datensätze in einer benannten Anwendung bearbeiten oder einen bestimmten Server administrieren. Entscheiden Sie dann jede Berechtigung für sich.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Eine prüfende Person braucht vielleicht Lesezugriff auf eine Sammlung ohne Zugriff auf die allgemeine Dateifreigabe und ohne Berechtigung, einen ganzen Abteilungsordner zu synchronisieren. Eine breite Subnetzroute kann das nicht ausdrücken, und ein Nur-Lese-Anwendungskonto hindert niemanden daran, das zu behalten, was der Bildschirm zeigt.
Wählen Sie die Arbeitsumgebung nach der Datenregel
Wenn genehmigte lokale Kopien wirklich nötig sind, legen Sie fest, wo sie liegen dürfen, wie sie geschützt werden, wie lange sie bleiben und wer sie entfernt. Beziehen Sie Sicherungen und persönliche Synchronisierungsdienste in diese Entscheidung ein, denn sie kopieren die Datei nach ihrem eigenen Zeitplan erneut. Ein späterer Entzug des VPN-Zugangs holt kein Dokument zurück, das bereits in jemandes Cloud-Laufwerk liegt.
Wenn die Arbeit in einer verwalteten Umgebung bleiben soll, verringert ein Remotedesktop die Notwendigkeit, Dateien lokal abzulegen. Er ist keine automatische Grenze gegen Kopieren. Microsofts Referenz zu den RDP-Eigenschaften dokumentiert die Zwischenablageumleitung getrennt von der Laufwerksumleitung, prüfen Sie also die effektiven Client- und Dienstrichtlinien Ihrer Bereitstellung, statt anzunehmen, eine Desktopsitzung deaktiviere beide Kanäle.
Schauen Sie dann über die offensichtlichen Kanäle hinaus. Anwendungen haben Exportfunktionen, Mailclients haben Anhängen-Schaltflächen, und eine auf einen Bildschirm gerichtete Handykamera ist ein Übertragungsweg, den niemand patchen kann. Einen Kanal zu blockieren ist eine echte Kontrolle; es eine Garantie gegen Kopieren zu nennen, ist die Art, wie eine Richtlinie geschrieben wird, die nicht eingehalten werden kann.
Wenn der erlaubte Arbeitsablauf die Datenanforderung nicht erfüllen kann, lautet die Antwort: ein verwaltetes Gerät oder eine andere Zugangsregelung. Die Verschlüsselung im Tunnel ändert nicht, was die Person mit dem tun kann, was sie sieht. Schreiben Sie das in die Entscheidungsaufzeichnung, statt es implizit zu lassen. Sonst genehmigt die nächste prüfende Person dieselbe Anfrage mit derselben Lücke.
Machen Sie den Gerätezustand zur Bedingung, nicht zum Zertifikat
Definieren Sie die Endpunktanforderungen, die die Organisation tatsächlich bewerten und unterstützen kann: ein gepflegtes Betriebssystem, funktionierender Schutz, Kontosicherungen, der unterstützte Zugangsclient. Sagen Sie dann, was passiert, wenn das Gerät sie nicht mehr erfüllt, denn das ist die Hälfte der Richtlinie, die alle zu schreiben vergessen.
- Ein Zustandsergebnis beschreibt die zu diesem Zeitpunkt geprüften Bedingungen, nicht das künftige Verhalten des Laptops.
- Anwendungsautorisierung und Netzwerkeinschränkungen bleiben nach der Zulassung bestehen.
- Breiter Bürozugang folgt nicht aus einem einzigen abgeschlossenen Scan.
- Anforderungen an Überwachung und Verwaltung brauchen die informierte Zustimmung des Verantwortlichen.
Eine Richtlinie, die von Kontrollen abhängt, die der Beschäftigte nicht akzeptiert hat oder die die Organisation nicht betreiben kann, ist ein Dokument und keine Grenze. Sagen Sie das klar und bieten Sie die verwaltete Alternative an, wo die Lücke nicht geschlossen werden kann.
Entscheiden Sie, wer die Sitzung und die Daten schließt
Benennen Sie vor der Genehmigung die Person, die für das Entfernen des Zugangs, den Umgang mit einem verlorenen Gerät und jedes lokal aufbewahrte Firmenmaterial verantwortlich ist. Testen Sie die beabsichtigte Arbeit mit einem gewöhnlichen Konto und bestätigen Sie, dass nicht zusammenhängende Ressourcen dort nicht verfügbar sind, wo das Design es vorsieht.
Die fertige Entscheidung liest sich wie ein Satz mit vier Feldern: was die Person nutzen darf, von welchem zulässigen Gerät, über welchen Einstiegspunkt, mit welcher Berechtigung für lokale Daten. Alles Kürzere ist ein Ja oder Nein neben den Worten VPN-Zugang und lässt den folgenreichen Teil der Anfrage unbeantwortet.