Työ-VPN Saudi-Arabiassa: kolme kysymystä ennen kuin pyydät pääsyä

Hylätty toinen kirjautuminen tai estetty sisäinen sovellus viittaa harvoin rikkinäiseen tunneliin. Työ-VPN:t valvovat kolmea erillistä asiaa: mihin tili voi päästä, kuinka monta istuntoa se voi pitää ja mitkä sisäiset palvelut on julkaistu etäkäyttäjille. Esitä nuo kolme kysymystä järjestyksessä, koska jokaisella on eri omistaja. Julkaistu kehys, kuten NCA:n etätyön käyttöönoton opas, on hyödyllinen kehys keskustelulle, ei tuomio kenenkään oikeudellisesta asemasta.

Ensimmäinen: mihin tämä tili saa päästä?

Käyttöoikeudet määritellään järjestelmän arkaluontoisuuden, käyttötason ja sallitun laitetyypin mukaan, ja ne ovat organisaation päätöksiä, eivät tunnelin ominaisuuksia. Salasanan hallussapito vastaa vain siihen, saako yhteyden muodostaa. Se ei kerro, saako tili avata asiakirjaa, hallita palvelinta tai vaihtaa ohjainta. Pyydä aiottua resurssia ja toimintoa, älä pääsyä verkkoon kokonaisuutena.

Kohteena muotoiltu pyyntö on helpompi hyväksyä kuin tunteena muotoiltu. Siksi ensimmäinen kysymys koskee resurssia, ei verkkoa.

NCA 2-2-1-1 sitoo käyttöoikeudet täsmälleen näihin kolmeen ulottuvuuteen, siksi vastauksen on nimettävä järjestelmä ja toiminto. Sama logiikka näkyy nollaluottamuksen ohjeissa: sijainti verkossa ei ole valtuutus. Yrityksen VPN:ssä oleva käyttäjä ja kotiyhteyden käyttäjä voidaan molemmat todentaa, ja sovellus päättää silti, mitä kumpikin saa tehdä.

Toinen: kuinka monta istuntoa voi olla käynnissä yhtä aikaa?

Samanaikainen etäkäyttö on erillinen valvontakeino, ja NCA 2-2-1-2 kattaa sen yhdessä poikkeusten hyväksymispolun kanssa. Organisaatiot rajoittavat sitä usein, joskus yhteen aktiiviseen istuntoon tiliä kohden. Raja on operaattorin asettama politiikkaluku, ei protokollan vakio, joten kukaan organisaation ulkopuolella ei voi kertoa sinulle arvoa. Vanhentunut istunto, jota kukaan ei voi sulkea, on operatiivinen ongelma, josta kannattaa raportoida erikseen.

Jos toinen kannettava hylätään, tavallinen selitys on ensimmäinen istunto. Kysy, miten operaattori tunnistaa istunnot ja miten vanhentuneet suljetaan; jotkin järjestelmät päästävät passiivisen istunnon vanhenemaan, toiset pitävät sen, kunnes se lopetetaan nimenomaisesti. Älä asenna asiakasta uudelleen, vaihda profiilia tai vaihda ulostuloja ennen kuin tuo vastaus saapuu.

Kolmas: mitkä sisäiset palvelut on julkaistu?

Etäkäyttö julkaisee yleensä määritellyn joukon palveluita, protokollia ja portteja, ja NCA 2-4-1-1 pitää joukon siinä, mitä etätyö todella tarvitsee. Luettelo on pienempi kuin yksityisverkko, ja se on tarkoituksellista. Kysy, mitä palvelua ja porttia tarvitset, sen sijaan että pyytäisit laajaa tavoitettavuutta, koska laajaa pyyntöä on vaikeampi perustella ja paljon vaikeampi tarkastella myöhemmin.

Tukipyynnön tulee sisältää tilin rooli, hyväksytty laite, kohdepalvelu, vian ajankohta ja ei-salainen virheteksti. Lähetä se organisaation kanavaa pitkin, älä sille, joka vastaa ensimmäisenä ryhmäkeskustelussa. Se riittää, että omistaja voi tarkistaa käytännön ja lokit. Salasanat, palautuskoodit ja yksityiset avaimet eivät kuulu siihen.

Mitä tehdä, kun vastaus on ei

Hylkäys on usein laajuuden epäsuhta, ei turvallisuustuomio. Palvelu voi olla julkaistu vain toimiston osoitteille, tai roolilta voi puuttua toiminto, vaikka tunneli toimii. Kysy, mikä kolmesta kysymyksestä epäonnistui, ja korjaus tulee yleensä ilmeiseksi. Jos poikkeus tarvitaan, pyydä omistajaa kirjaamaan se sen sijaan että kiertäisit sitä.

Älä lainaa kollegan istuntoa, poista asiakkaan tarkistusta käytöstä äläkä reititä liikennettä hyväksymättömän ulostulon kautta saadaksesi testin läpi. Jokainen näistä korvaa auditoitavan hylkäyksen menestyksellä, jota kukaan ei voi auditoida, ja seuraava katsaus löytää eron. Hyväksytty poikkeus on hitaampi ja kestää auditoinnin.

Kysymykset, jotka viet omistajalle

Kirjoita ne ennen puhelua: mihin resursseihin ja toimintoihin tämä tili on hyväksytty, mikä on samanaikaisten istuntojen käytäntö ja miten vanhentuneet istunnot siivotaan, ja mitkä sisäiset palvelut ja portit on julkaistu etäkäyttäjille. Pyydä omistajaa vahvistamaan nykyinen soveltuvuus, koska oppaita tarkistetaan ja sisäinen käytäntö voi olla tiukempi kuin julkaistu perusta. Lisää laitevaatimus, jos organisaatiolla on sellainen.

Valvontakehys auttaa sinua esittämään täsmällisiä kysymyksiä. Se ei valtuuta toimintaa eikä korvaa operaattorin vastausta.

Palauta vastaukset samalle omistajalle, kun seuraavaa muutosta ehdotetaan. Juuri se muuttaa kertaluonteisen hyväksynnän käytännöksi, jota joku ylläpitää.