L'accesso VPN in BYOD è anche una decisione sulla conservazione dei dati
Un sì o un no accanto all'accesso VPN lascia senza risposta la parte difficile. Decidete separatamente connessione, uso delle risorse e conservazione locale, poi scegliete l'ambiente.
La richiesta arriva come una sola frase: questa persona può usare la VPN dal proprio portatile? Rispondere sì o no non risolve quasi nulla. Tre autorizzazioni distinte si nascondono nella domanda, e falliscono in modi diversi. Trattate il tunnel come la parte facile e la decisione sui dati come quella che ha bisogno di un responsabile.
Spezzate la richiesta in tre autorizzazioni
Descrivete prima il risultato utile e ristretto: leggere una raccolta di documenti, modificare record in un'applicazione nominata o amministrare un server specifico. Poi decidete ogni autorizzazione per conto suo.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Un revisore può aver bisogno di accesso in lettura a una raccolta senza accesso alla condivisione file generale e senza permesso di sincronizzare un'intera cartella di reparto. Una rotta di sottorete ampia non può esprimerlo, e un account applicativo di sola lettura non impedisce a una persona di tenere ciò che lo schermo le mostra.
Scegliete l'ambiente di lavoro dalla regola sui dati
Se le copie locali approvate sono davvero necessarie, definite dove possono risiedere, come sono protette, quanto restano e chi le rimuove. Includete i backup e i servizi di sincronizzazione personale in quella decisione, perché ricopiano il file secondo il proprio calendario. Revocare più tardi l'accesso VPN non recupera un documento che si trova già nel cloud di qualcuno.
Se il lavoro deve restare dentro un ambiente gestito, un desktop remoto riduce la necessità di collocare file in locale. Non è un confine automatico di divieto di copia. Il riferimento sulle proprietà RDP di Microsoft documenta la redirezione degli appunti separatamente dalla redirezione delle unità, quindi verificate le politiche effettive di client e servizio della vostra distribuzione invece di supporre che una sessione desktop disattivi entrambi i canali.
Poi guardate oltre i canali ovvi. Le applicazioni hanno funzioni di esportazione, i client di posta hanno pulsanti di allegato, e una fotocamera del telefono puntata su uno schermo è un metodo di trasferimento che nessuno può correggere. Bloccare un canale è un controllo reale; chiamarlo garanzia contro la copia è il modo in cui si scrive una politica che non può essere mantenuta.
Se il flusso di lavoro consentito non può soddisfare il requisito sui dati, la risposta è un dispositivo gestito o un diverso assetto di accesso. La cifratura nel tunnel non cambia ciò che la persona può fare con ciò che vede. Ditelo nel verbale della decisione invece di lasciarlo implicito. Altrimenti il revisore successivo approva la stessa richiesta con la stessa lacuna.
Fate della postura del dispositivo una condizione, non un certificato
Definite i requisiti di endpoint che l'organizzazione può davvero valutare e supportare: un sistema operativo mantenuto, una protezione funzionante, salvaguardie dell'account, il client di accesso supportato. Poi dichiarate cosa accade quando il dispositivo smette di soddisfarli, perché è la metà della politica che tutti dimenticano di scrivere.
- Un risultato di postura descrive le condizioni verificate in quel momento, non il comportamento futuro del portatile.
- L'autorizzazione delle applicazioni e le restrizioni di rete restano in vigore dopo l'ammissione.
- L'accesso ampio all'ufficio non deriva da una sola scansione completata.
- I requisiti di monitoraggio e gestione necessitano dell'accettazione informata del responsabile.
Una politica che dipende da controlli che il dipendente non ha accettato, o che l'organizzazione non può gestire, è un documento e non un confine. Ditelo chiaramente e offrite l'alternativa gestita dove la lacuna non può essere chiusa.
Decidete chi chiude la sessione e i dati
Prima dell'approvazione, indicate la persona responsabile di rimuovere l'accesso, di gestire un dispositivo smarrito e di qualsiasi materiale aziendale conservato localmente. Provate il lavoro previsto con un account ordinario e confermate che le risorse non correlate non sono disponibili dove il progetto dice che dovrebbero esserlo.
La decisione finita si legge come una frase con quattro caselle: cosa la persona può usare, da quale dispositivo idoneo, attraverso quale punto di ingresso, con quale permesso sui dati locali. Qualsiasi cosa di più breve è un sì o un no accanto alle parole accesso VPN, e lascia senza risposta la parte della richiesta che ha conseguenze.