O acceso VPN por BYOD tamén é unha decisión sobre a retención de datos
Un si ou un non xunto ao acceso VPN deixa sen resposta a parte difícil. Decida por separado a conexión, o uso de recursos e a retención local, e despois escolla o contorno.
A petición chega como unha soa frase: pode esta persoa usar a VPN desde o seu propio portátil? Responder cun si ou un non non resolve case nada. Dentro da pregunta escóndense tres permisos distintos, e fallan de xeitos diferentes. Trate o túnel como a parte doada e a decisión sobre os datos como a que precisa un responsable.
Divida a solicitude en tres permisos
Describa primeiro o resultado útil e estreito: ler unha colección de documentos, editar rexistros nunha aplicación concreta ou administrar un servidor específico. Despois decida cada permiso pola súa conta.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Pode que un revisor necesite acceso de lectura a unha colección sen acceso ao recurso compartido xeral e sen permiso para sincronizar un cartafol enteiro do departamento. Unha ruta ampla de subrede non pode expresar iso, e unha conta de aplicación de só lectura non impide que alguén conserve o que a pantalla lle mostra.
Escolla o contorno de traballo a partir da regra de datos
Se as copias locais aprobadas son realmente necesarias, defina onde poden residir, como se protexen, canto tempo permanecen e quen as elimina. Inclúa as copias de seguridade e os servizos de sincronización persoais nesa decisión, porque volven copiar o ficheiro segundo o seu propio calendario. Revogar despois o acceso á VPN non recupera un documento que xa está na nube de alguén.
Se o traballo debe quedar dentro dun contorno xestionado, un escritorio remoto reduce a necesidade de colocar ficheiros localmente. Non é unha fronteira automática de non copia. A referencia de propiedades de RDP de Microsoft documenta o redireccionamento do portapapeis por separado do redireccionamento de unidades, así que revise as políticas efectivas de cliente e de servizo do seu despregamento en lugar de supor que unha sesión de escritorio desactiva ambas as canles.
Despois mire máis aló das canles obvias. As aplicacións teñen funcións de exportación, os clientes de correo teñen botóns de adxuntar e unha cámara de teléfono apuntada a unha pantalla é un método de transferencia que ninguén pode parchear. Bloquear unha canle é un control real; chamalo garantía contra a copia é como se escribe unha política que non se pode cumprir.
Se o fluxo de traballo permitido non pode cumprir o requisito de datos, a resposta é un dispositivo xestionado ou outra forma de acceso. O cifrado do túnel non cambia o que a persoa pode facer co que ve. Dígao no rexistro da decisión en lugar de deixalo implícito. Se non, o seguinte revisor aproba a mesma solicitude coa mesma lagoa.
Faga da postura do dispositivo unha condición, non un certificado
Defina os requisitos de punto final que a organización pode avaliar e soster de verdade: un sistema operativo mantido, protección en funcionamento, salvagardas da conta, o cliente de acceso admitido. Despois indique que ocorre cando o dispositivo deixa de cumprilos, porque esa é a metade da política que todos esquecemos escribir.
- Un resultado de postura describe as condicións comprobadas nese momento, non o comportamento futuro do portátil.
- A autorización de aplicacións e as restricións de rede seguen vixentes tras a admisión.
- O acceso amplo á oficina non se deduce dun único escaneo completado.
- Os requisitos de monitorización e xestión necesitan a aceptación informada do responsable.
Unha política que depende de controis que o empregado non aceptou, ou que a organización non pode operar, é un documento e non unha fronteira. Dígao con claridade e ofreza a alternativa xestionada onde a lagoa non se poida pechar.
Decida quen pecha a sesión e os datos
Antes da aprobación, nomee a persoa responsable de retirar o acceso, de xestionar un dispositivo perdido e de calquera material da empresa conservado localmente. Probe o traballo previsto cunha conta ordinaria e confirme que os recursos non relacionados non están dispoñibles onde o deseño di que deberían estar.
A decisión rematada lese como unha frase con catro casillas: que pode usar a persoa, desde que dispositivo admisible, por que punto de entrada, con que permiso de datos locais. Calquera cousa máis curta é un si ou un non xunto ás palabras acceso VPN, e deixa sen resposta a parte consecuente da petición.