L'accès VPN en BYOD est aussi une décision de conservation des données
Un oui ou un non à côté de l'accès VPN laisse la partie difficile sans réponse. Tranchez séparément la connexion, l'usage des ressources et la conservation locale, puis choisissez l'environnement.
La demande arrive sous forme d'une phrase : cette personne peut-elle utiliser le VPN depuis son propre portable ? Répondre oui ou non ne règle presque rien. Trois autorisations distinctes se cachent dans la question, et elles échouent de manières différentes. Considérez le tunnel comme la partie facile et la décision sur les données comme celle qui a besoin d'un responsable.
Découpez la demande en trois autorisations
Décrivez d'abord le résultat utile et étroit : lire une collection de documents, modifier des enregistrements dans une application nommée ou administrer un serveur précis. Décidez ensuite chaque autorisation séparément.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Un évaluateur peut avoir besoin d'un accès en lecture à une collection sans accès au partage de fichiers général et sans droit de synchroniser un dossier entier du service. Une route de sous-réseau large ne peut pas exprimer cela, et un compte d'application en lecture seule n'empêche pas une personne de garder ce que l'écran lui montre.
Choisissez l'environnement de travail d'après la règle sur les données
Si des copies locales approuvées sont réellement nécessaires, définissez où elles peuvent résider, comment elles sont protégées, combien de temps elles restent et qui les supprime. Intégrez les sauvegardes et les services de synchronisation personnels à cette décision, car ils recopient le fichier selon leur propre calendrier. Révoquer plus tard l'accès VPN ne récupère pas un document déjà présent dans le nuage de quelqu'un.
Si le travail doit rester dans un environnement géré, un bureau distant réduit le besoin de placer des fichiers en local. Ce n'est pas une frontière automatique d'interdiction de copie. La référence des propriétés RDP de Microsoft documente la redirection du presse-papiers séparément de la redirection de lecteur, alors vérifiez les stratégies effectives de client et de service de votre déploiement au lieu de supposer qu'une session de bureau désactive les deux canaux.
Regardez ensuite au-delà des canaux évidents. Les applications ont des fonctions d'export, les clients de messagerie ont des boutons de pièce jointe, et un appareil photo de téléphone pointé vers un écran est un moyen de transfert que personne ne peut corriger. Bloquer un canal est un contrôle réel ; l'appeler garantie contre la copie, c'est ainsi qu'on écrit une politique qui ne peut pas être tenue.
Si le flux de travail autorisé ne peut pas satisfaire l'exigence sur les données, la réponse est un appareil géré ou un autre arrangement d'accès. Le chiffrement du tunnel ne change rien à ce que la personne peut faire de ce qu'elle voit. Dites-le dans le compte rendu de décision au lieu de le laisser implicite. Sinon, l'évaluateur suivant approuve la même demande avec le même manque.
Faites de la posture de l'appareil une condition, pas un certificat
Définissez les exigences de poste de travail que l'organisation peut réellement évaluer et prendre en charge : un système d'exploitation maintenu, une protection opérationnelle, des garde-fous de compte, le client d'accès pris en charge. Indiquez ensuite ce qui se passe lorsque l'appareil cesse de les respecter, car c'est la moitié de la politique que tout le monde oublie d'écrire.
- Un résultat de posture décrit les conditions vérifiées à cet instant, pas le comportement futur du portable.
- L'autorisation des applications et les restrictions réseau restent en place après l'admission.
- Un accès bureautique large ne découle pas d'une seule analyse terminée.
- Les exigences de supervision et de gestion nécessitent l'acceptation éclairée du responsable.
Une politique qui dépend de contrôles que l'employé n'a pas acceptés, ou que l'organisation ne peut pas exploiter, est un document et non une frontière. Dites-le clairement et proposez l'alternative gérée là où le manque ne peut pas être comblé.
Décidez qui ferme la session et les données
Avant l'approbation, nommez la personne chargée de retirer l'accès, de traiter un appareil perdu et de tout matériel de l'entreprise conservé localement. Testez le travail prévu avec un compte ordinaire et confirmez que les ressources sans rapport ne sont pas disponibles là où la conception dit qu'elles ne devraient pas l'être.
La décision finalisée se lit comme une phrase à quatre cases : ce que la personne peut utiliser, depuis quel appareil éligible, par quel point d'entrée, avec quelle autorisation sur les données locales. Tout ce qui est plus court est un oui ou un non à côté des mots accès VPN, et cela laisse sans réponse la partie de la demande qui a des conséquences.