VPN di lavoro in Arabia Saudita: tre domande prima di chiedere accesso

Un secondo accesso rifiutato o un’applicazione interna bloccata raramente indicano un tunnel rotto. Le VPN di lavoro applicano tre cose separate: a cosa può arrivare l’account, quante sessioni può tenere e quali servizi interni sono pubblicati agli utenti remoti. Ponete queste tre domande in ordine, perché ciascuna ha un proprietario diverso. Un quadro pubblicato come la guida NCA all’attuazione del telelavoro è un quadro utile per la conversazione, non un verdetto sulla posizione legale di qualcuno.

Primo: a cosa può arrivare questo account?

I diritti di accesso sono definiti dalla sensibilità del sistema, dal livello di accesso e dal tipo di dispositivo consentito, e sono decisioni organizzative, non proprietà del tunnel. Possedere la password risponde solo se la connessione può essere stabilita. Non dice se l’account può aprire un documento, amministrare un server o modificare un controllore. Chiedete la risorsa e l’operazione previste, non l’accesso alla rete nel suo insieme.

Una richiesta formulata come destinazione è più facile da approvare di una formulata come sensazione. Per questo la prima domanda riguarda la risorsa, non la rete.

NCA 2-2-1-1 lega i diritti di accesso esattamente a queste tre dimensioni, perciò la risposta deve nominare un sistema e un’operazione. La stessa logica compare nelle linee guida zero trust: la posizione nella rete non è autorizzazione. Un utente sulla VPN aziendale e un utente su una connessione domestica possono entrambi essere autenticati, e l’applicazione decide comunque cosa può fare ciascuno.

Secondo: quante sessioni possono girare insieme?

L’accesso remoto simultaneo è un controllo separato, e NCA 2-2-1-2 lo copre insieme a un percorso di approvazione per le eccezioni. Le organizzazioni spesso lo limitano, a volte a una sessione attiva per account. Il limite è un numero di politica fissato dall’operatore, non una costante del protocollo, quindi nessuno fuori dall’organizzazione può dirvi il valore. Una sessione obsoleta che nessuno può chiudere è un problema operativo che merita una segnalazione a sé.

Se un secondo portatile viene rifiutato, la prima sessione è la spiegazione abituale. Chiedete come l’operatore identifica le sessioni e come vengono chiuse quelle obsolete; alcuni sistemi fanno scadere una sessione inattiva, altri la mantengono finché non viene terminata esplicitamente. Non reinstallate il client, non cambiate il profilo e non cambiate le uscite prima che arrivi quella risposta.

Terzo: quali servizi interni sono pubblicati?

L’accesso remoto di solito pubblica un insieme definito di servizi, protocolli e porte, e NCA 2-4-1-1 mantiene quell’insieme su ciò di cui il lavoro remoto ha realmente bisogno. L’elenco è più piccolo della rete privata, ed è deliberato. Chiedete quale servizio e quale porta vi servono invece di richiedere una raggiungibilità ampia, perché una richiesta ampia è più difficile da giustificare e molto più difficile da riesaminare dopo.

La richiesta di supporto deve portare il ruolo dell’account, il dispositivo approvato, il servizio di destinazione, l’ora del guasto e il testo dell’errore che non è segreto. Inviatela attraverso il canale dell’organizzazione e non a chi risponde per primo in un gruppo di chat. Questo basta al proprietario per controllare politica e registri. Password, codici di recupero e chiavi private non hanno posto lì.

Cosa fare quando la risposta è no

Un rifiuto è spesso un disallineamento di ambito, non un verdetto di sicurezza. Il servizio può essere pubblicato solo per gli indirizzi dell’ufficio, oppure al ruolo può mancare l’operazione anche se il tunnel funziona. Chiedete quale delle tre domande ha fallito, e la correzione di solito diventa ovvia. Se serve un’eccezione, chiedete al proprietario di registrarla invece di aggirarla.

Non prendete in prestito la sessione di un collega, non disattivate un controllo del client e non instradate il traffico attraverso un’uscita non approvata per far passare un test. Ognuna di queste cose sostituisce un rifiuto verificabile con un successo che nessuno può verificare, e la prossima revisione troverà la differenza. L’eccezione approvata è più lenta e sopravvive a un audit.

Le domande da portare al proprietario

Scrivetele prima della chiamata: a quali risorse e operazioni è approvato questo account, qual è la politica delle sessioni simultanee e come si ripuliscono le sessioni obsolete, e quali servizi e porte interni sono pubblicati agli utenti remoti. Chiedete al proprietario di confermare l’applicabilità attuale, perché le guide vengono riviste e la politica interna può essere più severa della base pubblicata. Aggiungete il requisito del dispositivo se l’organizzazione ne ha uno.

Un quadro di controlli vi aiuta a porre domande precise. Non autorizza un’attività e non sostituisce la risposta dell’operatore.

Riportate le risposte allo stesso proprietario quando viene proposto il cambiamento successivo. È questo che trasforma un’approvazione una tantum in una politica che qualcuno mantiene.