Miks VPN-i registreerimine palub teil kontorisse tulla

Palve VPN-konto jaoks isiklikult kohale tulla tundub tehnilise piiranguna, kuid seda see sugugi ei ole. Tunneliprotokollil ei ole arvamust selle kohta, kus te seisate. Külastus rakendab otsust identiteedi kohta: keegi organisatsioonis peab olema veendunud, et volituste saaja on see isik, kes on registris. Arusaamine, milline otsus seda kindlust vajab, muudab reisi üle peetava vaidluse lahendatavaks probleemiks.

Kolm taotlust, mis näevad ühesugused välja

Uus töötaja vajab identiteedi tuvastamist, õiguse kinnitamist ja juurdepääsu heakskiitmist ning ükski neist ei tulene sertifikaaditaotlusest ega e-kirjas kuvatavast nimest. Olemasolev kasutaja, kes parooli muudab, vajab muudatuse autentimiseks heakskiidetud viisi, mis on jälle hoopis teine küsimus. See, kes on kaotanud kõik aktsepteeritud autentimisvahendid, vajab taastamist, ja see on kolmest kõige ohtlikum, sest küsija võib olla pettur, kes üritab asendada tõendeid, mis teda tavaliselt takistaksid.

Need juhtumid ei peaks vaikimisi jagama üht mitteametlikku protseduuri. Töötaja numbri omamine või juurdepääs kinnitamata postkastile ei asenda kontrolli, mille organisatsioon valis.

Mida külastus tõestab ja mida mitte

Identiteedi tõestamine on protsess, millel on etapid, mitte koht. Juhised nagu NIST-i identiteedi tõestamise juhised eraldavad identiteedi tuvastamise, selle taga olevate tõendite valideerimise ja kinnitamise, et taotleja on isik, keda need tõendid kirjeldavad. Iga etapp võib olla osalusega või ilma, kaugelt või kohapeal, ja kindlus sõltub sellest, kuidas neid kõiki täidetakse. Etapi vahelejätmine on otsus riski kohta, mitte paberimajandusest läbi lõikamine.

Kontoris seismine ei täida iseenesest ühtki neist etappidest. Ka videokõne ei täida iseenesest ühtki neist, mistõttu ei ole kaugprotsess automaatselt nõrgem ja kohapealne protsess ei ole automaatselt täielik.

Kindlust kannavad koolitatud operaatorid, tõendite käsitlemine ja tehnilised kontrollid ning asukoht piirab vaid seda, kuidas neid saab rakendada. Kontorilaud koolitamata operaatoriga ei ole tugev protsess.

Küsige heakskiidetud alternatiivi

Kui reis on tõesti ebapraktiline, uurige määratud omanikult, kas heakskiidetud kaug- või taastamismeetod on juba olemas. Ärge läbirääkige erandit üksiku administraatoriga, sest see loob volitused, mida keegi ei saa auditeerida, ja pretsedendi, millega keegi ei nõustunud. Heakskiidetud tee on tavaliselt dokumenteeritud, isegi kui keegi pole seda hiljuti küsinud.

Kui kohapealne samm on nõutav, uurige täpselt, millist etappi see rahuldab. Tõendeid kontrolliv külastus on erinev nõue kui see, mis tunnistab allkirja, ja kahel on erinevad alternatiivid.

Get-Certificate -Template "VPN-User" -Url ldap:///CN=CA,DC=corp,DC=internal
certutil -store -user My

Hoidke hilisemad etapid selgesõnalised

Kontrollimine ei ole protsessi lõpp. Juurdepääsu heakskiitmine, volituste sidumine ja kohaletoimetamine vajavad igaüks oma kirjet ning kavandatud seadme ja ressursi ulatus tuleks üles kirjutada, mitte eeldada.

Säilitage ka volitatud taastamistee, sest kasutaja, kes ei saa taastada, leiab mitteametliku. Käsitlege mis tahes paljastatud volitusi nende tegeliku eemaldamise protsessi kaudu. Lõpetatud külastus või parooli muutmine ei tühista iseenesest muid aktiivseid seansse ja just selles lüngas jätkub enamik juhtumeid.

Küsimus, mille omanikule tagasi viia, on seega kitsas: milline otsus vajab isiklikku kindlust ja milline on heakskiidetud viis sama kindluse saavutamiseks, kui reis on võimatu. Sellele küsimusele saab vastata, reisi üle esitatud kaebusele mitte.