BYOD VPN-juurdepääs on ka andmete säilitamise otsus
Jah või ei VPN-juurdepääsu kõrval jätab raske osa vastuseta. Otsustage ühenduse, ressursside kasutamise ja kohaliku säilitamise üle eraldi ning valige seejärel keskkond.
Taotlus saabub ühe lausena: kas see inimene saab VPN-i kasutada omaenda sülearvutist? Vastus jah või ei ei otsusta peaaegu midagi. Küsimuse sees peitub kolm eraldi õigust ja need ebaõnnestuvad erineval moel. Käsitle tunnelit lihtsa osana ja andmeotsust sellena, mis vajab omanikku.
Jagage taotlus kolmeks õiguseks
Kirjeldage esmalt kitsast kasulikku tulemust: ühe dokumendikogu lugemine, kirjete muutmine nimetatud rakenduses või konkreetse serveri haldamine. Seejärel otsustage iga õigus eraldi.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Ülevaatajal võib olla vaja lugemisõigust ühele kogule ilma juurdepääsuta üldisele failijagamisele ja ilma õiguseta terve osakonna kausta sünkroonida. Lai alamsisuliikluse marsruut ei suuda seda väljendada ning ainult lugemiseks mõeldud rakenduskonto ei takista inimest hoidmast seda, mida ekraan talle näitab.
Valige töökeskkond andmereegli järgi
Kui kinnitatud kohalikud koopiad on tõesti vajalikud, määratlege, kus need võivad asuda, kuidas neid kaitstakse, kui kaua need püsivad ja kes need eemaldab. Kaasake sellesse otsusesse varukoopiad ja isiklikud sünkroonimisteenused, sest need kopeerivad faili uuesti oma ajakava järgi. Hilisem VPN-juurdepääsu tühistamine ei too tagasi dokumenti, mis juba asub kellegi pilveväljal.
Kui töö peaks jääma hallatud keskkonda, vähendab kaugtöölaud vajadust paigutada faile kohapeal. See ei ole automaatne kopeerimiskeeld. Microsofti RDP atribuutide viide dokumenteerib lõikelaua ümbersuunamise eraldi kettaseadme ümbersuunamisest, seega kontrollige oma juurutuse kehtivaid kliendi- ja teenusepoliitikaid, selle asemel et eeldada, et töölaua seanss lülitab mõlemad kanalid välja.
Seejärel vaadake kaugemale ilmsetest kanalitest. Rakendustel on ekspordifunktsioonid, meilikliendil on manuse nupud ja ekraanile suunatud telefonikaamera on ülekandemeetod, mida keegi ei saa parandada. Ühe kanali blokeerimine on tõeline meede; selle nimetamine kopeerimisvastaseks garantiiks on viis, kuidas kirjutatakse poliitikat, mida ei saa täita.
Kui lubatud töövoog ei suuda andmenõuet täita, on vastuseks hallatud seade või teistsugune juurdepääsukorraldus. Tunneli krüpteerimine ei muuda seda, mida inimene nähtuga teha saab. Öelge seda otsuseprotokollis, mitte jätke vihjamisi. Vastasel juhul kinnitab järgmine ülevaataja sama taotluse sama lüngaga.
Tehke seadme seisund tingimuseks, mitte sertifikaadiks
Määratlege lõpp-punkti nõuded, mida organisatsioon suudab tõesti hinnata ja toetada: hooldatud operatsioonisüsteem, toimiv kaitse, konto kaitsemeetmed, toetatud juurdepääsuklient. Seejärel öelge, mis juhtub, kui seade lakkab neid täitmast, sest see on pool poliitikast, mille kirjutamise kõik unustavad.
- Seisundi tulemus kirjeldab sel hetkel kontrollitud tingimusi, mitte sülearvuti tulevast käitumist.
- Rakenduse autoriseerimine ja võrgupiirangud jäävad sisenemise järel kehtima.
- Lai kontorijuurdepääs ei tulene ühest lõpetatud skaneerimisest.
- Järelevalve ja haldamise nõuded vajavad omaniku teadlikku nõusolekut.
Poliitika, mis sõltub meetmetest, mida töötaja ei ole nõustunud või mida organisatsioon ei suuda rakendada, on dokument, mitte piir. Öelge seda selgelt ja pakkuge hallatud alternatiivi seal, kus lünka ei saa sulgeda.
Otsustage, kes sulgeb seansi ja andmed
Enne kinnitamist nimetage inimene, kes vastutab juurdepääsu eemaldamise, kaotatud seadmega toimimise ja kohapeal hoitava ettevõtte materjali eest. Testige kavandatud tööd tavalise kontoga ja kinnitage, et mitteseotud ressursid ei ole kättesaadavad seal, kus projekt seda ette näeb.
Valmis otsus loetakse nagu lause nelja pesaga: mida inimene saab kasutada, millisest sobivast seadmest, millise sisenemispunkti kaudu, millise kohalike andmete õigusega. Kõik lühem on jah või ei sõnade VPN-juurdepääs kõrval ja jätab taotluse tagajärgi omava osa vastuseta.