גישה ל-VPN דרך BYOD היא גם החלטה על שמירת נתונים
כן או לא ליד גישת VPN משאיר את החלק הקשה בלי תשובה. החליטו בנפרד על החיבור, השימוש במשאבים והשמירה המקומית, ואז בחרו את הסביבה.
הבקשה מגיעה כמשפט אחד: האם האדם הזה יכול להשתמש ב-VPN מהמחשב הנייד שלו? תשובה של כן או לא כמעט אינה מכריעה דבר. שלוש הרשאות נפרדות מסתתרות בתוך השאלה, והן נכשלות בדרכים שונות. התייחסו למנהרה כחלק הקל ולהחלטה על הנתונים כאל זו שזקוקה לבעלים.
פצלו את הבקשה לשלוש הרשאות
תארו קודם את התוצאה המצומצמת והשימושית: קריאת אוסף מסמכים אחד, עריכת רשומות ביישום בשם מסוים, או ניהול שרת מסוים. אחר כך החליטו על כל הרשאה בנפרד.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
ייתכן שמבקר צריך הרשאת קריאה לאוסף אחד בלי גישה לשיתוף הקבצים הכללי ובלי הרשאה לסנכרן תיקיית מחלקה שלמה. נתיב תת-רשת רחב אינו יכול לבטא זאת, וחשבון יישום לקריאה בלבד אינו מונע מאדם לשמור את מה שהמסך מציג לו.
בחרו את סביבת העבודה לפי כלל הנתונים
אם עותקים מקומיים מאושרים באמת נחוצים, הגדירו היכן הם רשאים לשכון, כיצד הם מוגנים, כמה זמן הם נשארים ומי מסיר אותם. כללו בהחלטה זו גיבויים ושירותי סנכרון אישיים, משום שהם מעתיקים את הקובץ שוב לפי לוח הזמנים שלהם. שלילת גישת ה-VPN מאוחר יותר אינה מחזירה מסמך שכבר יושב בענן של מישהו.
אם העבודה צריכה להישאר בסביבה מנוהלת, שולחן עבודה מרוחק מפחית את הצורך להניח קבצים מקומית. זו אינה גבול אוטומטי נגד העתקה. מסמך העזר של מאפייני RDP של Microsoft מתעד את הפניית הלוח בנפרד מהפניית הכונן, לכן בדקו את מדיניות הלקוח והשירות היעילה בפריסה שלכם במקום להניח שסשן שולחן עבודה משבית את שני הערוצים.
לאחר מכן הביטו מעבר לערוצים הברורים. ליישומים יש פונקציות ייצוא, ללקוחות דואר יש כפתורי צירוף, ומצלמת טלפון המכוונת למסך היא שיטת העברה שאיש אינו יכול לתקן. חסימת ערוץ אחד היא בקרה אמיתית; לקרוא לה ערובה נגד העתקה זו הדרך שבה נכתבת מדיניות שאי אפשר לקיים.
אם זרימת העבודה המותרת אינה יכולה לעמוד בדרישת הנתונים, התשובה היא מכשיר מנוהל או הסדר גישה אחר. ההצפנה במנהרה אינה משנה מה האדם יכול לעשות עם מה שהוא רואה. אמרו זאת ברישום ההחלטה במקום להשאיר זאת משתמע. אחרת המבקר הבא מאשר את אותה בקשה עם אותו פער.
הפכו את מצב המכשיר לתנאי, לא לתעודה
הגדירו את דרישות נקודת הקצה שהארגון באמת יכול להעריך ולתמוך בהן: מערכת הפעלה מתוחזקת, הגנה פועלת, אמצעי הגנה לחשבון, לקוח הגישה הנתמך. אחר כך אמרו מה קורה כשהמכשיר מפסיק לעמוד בהן, משום שזה החצי של המדיניות שכולם שוכחים לכתוב.
- תוצאת מצב מתארת את התנאים שנבדקו באותו רגע, לא את התנהגות המחשב הנייד בעתיד.
- הרשאת יישומים ומגבלות רשת נשארות בתוקף לאחר הכניסה.
- גישה משרדית רחבה אינה נובעת מסריקה אחת שהושלמה.
- דרישות ניטור וניהול זקוקות להסכמה מדעת של הבעלים.
מדיניות שתלויה בבקרות שהעובד לא קיבל, או שהארגון אינו יכול להפעיל, היא מסמך ולא גבול. אמרו זאת בבירור, והציעו את החלופה המנוהלת במקום שבו אי אפשר לסגור את הפער.
החליטו מי סוגר את הסשן ואת הנתונים
לפני האישור, נקבו בשם האדם האחראי להסרת הגישה, לטיפול במכשיר שאבד ולכל חומר של החברה הנשמר מקומית. בדקו את העבודה המיועדת עם חשבון רגיל, ואשרו שמשאבים לא קשורים אינם זמינים במקום שבו התכנון אומר שהם אמורים להיות.
ההחלטה המוגמרת נקראת כמשפט עם ארבעה מקומות: מה האדם יכול להשתמש בו, מאיזה מכשיר כשיר, דרך איזו נקודת כניסה, עם איזו הרשאה לנתונים מקומיים. כל דבר קצר יותר הוא כן או לא ליד המילים גישת VPN, והוא משאיר את החלק בעל ההשלכות של הבקשה בלי תשובה.