VPN пристапот преку BYOD е исто така одлука за задржување на податоци
Да или не до VPN пристапот го остава тешкиот дел без одговор. Одлучете одделно за врската, користењето ресурси и локалното задржување, потоа изберете ја околината.
Барањето доаѓа како една реченица: може ли оваа личност да го користи VPN-от од својот сопствен преносен компјутер? Одговорот да или не речиси ништо не решава. Во прашањето се кријат три одделни дозволи и тие пропаѓаат на различни начини. Сметајте го тунелот за лесниот дел, а одлуката за податоците за оној на кој му треба сопственик.
Поделете го барањето на три дозволи
Најпрво опишете го тесниот корисен исход: читање на една збирка документи, уредување записи во именувана апликација или администрација на определен сервер. Потоа одлучете за секоја дозвола одделно.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
На рецензент може да му треба пристап за читање на една збирка без пристап до заедничкото споделување датотеки и без дозвола за синхронизирање на цела папка на оддел. Широка маршрута во подмрежа не може да го изрази тоа, а сметка на апликација само за читање не спречува некој да го задржи тоа што екранот му го покажува.
Изберете ја работната околина според правилото за податоци
Ако одобрените локални копии се навистина потребни, определете каде смеат да бидат, како се заштитени, колку долго остануваат и кој ги отстранува. Вклучете ги во таа одлука резервните копии и личните услуги за синхронизација, зашто тие ја копираат датотеката повторно по сопствен распоред. Подоцнежното одземање на VPN пристапот не враќа документ што веќе стои во нечиј облачен диск.
Ако работата треба да остане во управувана околина, оддалечената работна површина ја намалува потребата датотеките да се ставаат локално. Тоа не е автоматска граница за забрана на копирање. Microsoft-овата референца за својствата на RDP го документира пренасочувањето на клипбордот одделно од пренасочувањето на дисковите, затоа проверете ги важечките клиентски и сервисни политики за вашето распоредување наместо да претпоставувате дека сесија на работна површина ги исклучува двата канала.
Потоа погледнете подалеку од очигледните канали. Апликациите имаат функции за извоз, поштенските клиенти имаат копчиња за прилог, а телефонска камера насочена кон екран е начин на пренос што никој не може да го закрпи. Блокирање на еден канал е вистинска контрола; да го наречете гаранција против копирање е начинот на кој се пишува политика што не може да се одржи.
Ако дозволениот работен тек не може да го исполни барањето за податоци, одговорот е управуван уред или друг распоред за пристап. Шифрирањето во тунелот не менува што може личноста да направи со тоа што го гледа. Кажете го тоа во записот за одлука наместо да го оставите имплицитно. Инаку следниот рецензент ја одобрува истото барање со истата празнина.
Направете состојбата на уредот услов, а не сертификат
Определете ги барањата за крајната точка што организацијата навистина може да ги оцени и поддржи: одржуван оперативен систем, функционална заштита, мерки за безбедност на сметката, поддржан клиент за пристап. Потоа кажете што се случува кога уредот престанува да ги исполнува, зашто тоа е половината од политиката што сите забораваат да ја напишат.
- Резултатот за состојбата ги опишува условите проверени во тој миг, а не идното однесување на преносниот компјутер.
- Авторизацијата на апликациите и мрежните ограничувања остануваат на сила и по приемот.
- Широкиот пристап до канцеларијата не произлегува од едно завршено скенирање.
- Барањата за надзор и управување бараат информирано прифаќање од сопственикот.
Политика што зависи од контроли што вработениот не ги прифатил или што организацијата не може да ги води е документ, а не граница. Кажете го тоа јасно и понудете ја управуваната алтернатива таму каде што празнината не може да се затвори.
Одлучете кој ја затвора сесијата и податоците
Пред одобрувањето именувајте ја личноста одговорна за отстранување на пристапот, за постапување со изгубен уред и за секој материјал на компанијата задржан локално. Тестирајте ја предвидената работа со обична сметка и потврдете дека неповрзаните ресурси се недостапни таму каде што дизајнот вели дека треба да бидат.
Готовата одлука се чита како реченица со четири места: што може личноста да користи, од кој соодветен уред, низ која влезна точка, со која дозвола за локални податоци. Сè што е покусо е да или не до зборовите VPN пристап и го остава последичниот дел од барањето без одговор.