BYOD VPN-tilgang er også en beslutning om dataoppbevaring
Et ja eller nei ved siden av VPN-tilgang lar den vanskelige delen stå ubesvart. Avgjør tilkobling, ressursbruk og lokal oppbevaring hver for seg, og velg deretter miljøet.
Forespørselen kommer som én setning: kan denne personen bruke VPN fra sin egen bærbare datamaskin? Å svare ja eller nei avgjør nesten ingenting. Tre atskilte tillatelser skjuler seg i spørsmålet, og de svikter på hver sin måte. Behandle tunnelen som den enkle delen og databeslutningen som den som trenger en eier.
Del forespørselen i tre tillatelser
Beskriv først det smale, nyttige resultatet: lese én dokumentsamling, redigere poster i en navngitt applikasjon eller administrere en bestemt server. Deretter avgjør hver tillatelse for seg.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
En gjennomgåer kan trenge lesetilgang til én samling uten tilgang til den felles fildelingen og uten tillatelse til å synkronisere en hel avdelingsmappe. En bred subnett-rute kan ikke uttrykke det, og en skrivebeskyttet applikasjonskonto hindrer ikke en person i å beholde det skjermen viser.
Velg arbeidsmiljøet ut fra dataregelen
Hvis godkjente lokale kopier virkelig er nødvendige, må du definere hvor de kan ligge, hvordan de beskyttes, hvor lenge de blir og hvem som fjerner dem. Ta med sikkerhetskopier og personlige synkroniseringstjenester i den beslutningen, fordi de kopierer filen på nytt etter sin egen plan. Å trekke tilbake VPN-tilgang senere henter ikke tilbake et dokument som allerede ligger i noens skydrive.
Hvis arbeidet skal bli i et administrert miljø, reduserer et eksternt skrivebord behovet for å plassere filer lokalt. Det er ikke en automatisk grense mot kopiering. Microsofts referanse for RDP-egenskaper beskriver videresending av utklippstavle atskilt fra videresending av stasjoner, så kontroller gjeldende klient- og tjenestepolicyer for utrulleringen din i stedet for å anta at en skrivebordsøkt deaktiverer begge kanalene.
Se deretter utover de åpenbare kanalene. Applikasjoner har eksportfunksjoner, e-postklienter har vedleggsknapper, og et mobilkamera rettet mot en skjerm er en overføringsmetode ingen kan lappe. Å blokkere én kanal er en reell kontroll; å kalle det en garanti mot kopiering er måten man skriver en policy som ikke kan holdes.
Hvis den tillatte arbeidsflyten ikke kan oppfylle datakravet, er svaret en administrert enhet eller en annen tilgangsordning. Krypteringen i tunnelen endrer ikke hva personen kan gjøre med det den ser. Si det i beslutningsprotokollen i stedet for å la det være underforstått. Ellers godkjenner neste gjennomgåer den samme forespørselen med det samme hullet.
Gjør enhetens tilstand til en betingelse, ikke et sertifikat
Definer kravene til endepunktet som organisasjonen faktisk kan vurdere og støtte: et vedlikeholdt operativsystem, fungerende beskyttelse, kontosikring, den støttede tilgangsklienten. Si deretter hva som skjer når enheten slutter å oppfylle dem, for det er den halvdelen av policyen alle glemmer å skrive.
- Et tilstandsresultat beskriver betingelsene som ble kontrollert i det øyeblikket, ikke den bærbare datamaskinens fremtidige atferd.
- Applikasjonsautorisasjon og nettverksbegrensninger gjelder fortsatt etter innslipp.
- Bred kontortilgang følger ikke av én fullført skanning.
- Krav til overvåking og styring trenger eierens informerte aksept.
En policy som avhenger av kontroller arbeidstakeren ikke har akseptert, eller som organisasjonen ikke kan drifte, er et dokument og ikke en grense. Si det tydelig, og tilby det administrerte alternativet der hullet ikke kan lukkes.
Avgjør hvem som lukker økten og dataene
Før godkjenning, navngi personen som er ansvarlig for å fjerne tilgang, håndtere en mistet enhet og for alt bedriftsmateriell som oppbevares lokalt. Test det tiltenkte arbeidet med en vanlig konto, og bekreft at urelaterte ressurser ikke er tilgjengelige der designet sier de skal være det.
Den ferdige beslutningen leses som en setning med fire plasser: hva personen kan bruke, fra hvilken kvalifisert enhet, gjennom hvilket inngangspunkt, med hvilken tillatelse for lokale data. Alt kortere er et ja eller nei ved siden av ordene VPN-tilgang, og det lar den betydningsfulle delen av forespørselen stå ubesvart.