BYOD-VPN-toegang is ook een beslissing over gegevensbewaring
Een ja of nee naast VPN-toegang laat het lastige deel onbeantwoord. Beslis afzonderlijk over verbinding, resourcegebruik en lokale bewaring en kies daarna de omgeving.
Het verzoek komt als één zin: kan deze persoon de VPN vanaf de eigen laptop gebruiken? Ja of nee antwoorden beslecht bijna niets. Drie afzonderlijke machtigingen schuilen in de vraag, en ze falen op verschillende manieren. Beschouw de tunnel als het makkelijke deel en de gegevensbeslissing als het deel dat een eigenaar nodig heeft.
Splits het verzoek in drie machtigingen
Beschrijf eerst de smalle bruikbare uitkomst: één documentverzameling lezen, records bewerken in een genoemde applicatie of een specifieke server beheren. Beslis daarna elke machtiging afzonderlijk.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Een beoordelaar heeft misschien leestoegang nodig tot één verzameling zonder toegang tot de algemene bestandsshare en zonder toestemming om een hele afdelingsmap te synchroniseren. Een brede subnetroute kan dat niet uitdrukken, en een alleen-lezen applicatieaccount weerhoudt iemand er niet van te houden wat het scherm toont.
Kies de werkplek op basis van de gegevensregel
Als goedgekeurde lokale kopieën echt nodig zijn, bepaal dan waar ze mogen staan, hoe ze worden beschermd, hoe lang ze blijven en wie ze verwijdert. Neem back-ups en persoonlijke synchronisatiediensten mee in die beslissing, want die kopiëren het bestand opnieuw volgens hun eigen schema. Later de VPN-toegang intrekken haalt geen document terug dat al in iemands clouddrive staat.
Als het werk binnen een beheerde omgeving moet blijven, vermindert een extern bureaublad de noodzaak om bestanden lokaal te plaatsen. Het is geen automatische grens tegen kopiëren. De referentie over RDP-eigenschappen van Microsoft documenteert het doorsturen van het klembord apart van het doorsturen van stations, dus controleer het geldende client- en servicebeleid voor jouw uitrol in plaats van aan te nemen dat een bureaubladsessie beide kanalen uitschakelt.
Kijk daarna verder dan de voor de hand liggende kanalen. Applicaties hebben exportfuncties, mailclients hebben knopjes voor bijlagen, en een telefooncamera die op een scherm is gericht is een overdrachtsmethode die niemand kan patchen. Eén kanaal blokkeren is een echte controle; het een garantie tegen kopiëren noemen is hoe een beleid wordt geschreven dat niet kan worden gehouden.
Als de toegestane werkwijze niet aan de gegevenseis kan voldoen, is het antwoord een beheerd apparaat of een andere toegangsregeling. Versleuteling in de tunnel verandert niets aan wat de persoon met wat hij ziet kan doen. Zeg dat in het besluitregister in plaats van het impliciet te laten. Anders keurt de volgende beoordelaar hetzelfde verzoek goed met hetzelfde gat.
Maak de apparaatstatus een voorwaarde, geen certificaat
Definieer de eindpuntvereisten die de organisatie echt kan beoordelen en ondersteunen: een onderhouden besturingssysteem, werkende bescherming, accountbeveiliging, de ondersteunde toegangsclient. Zeg daarna wat er gebeurt als het apparaat ze niet meer haalt, want dat is de helft van het beleid die iedereen vergeet te schrijven.
- Een statusresultaat beschrijft de voorwaarden die op dat moment zijn gecontroleerd, niet het toekomstige gedrag van de laptop.
- Applicatiemachtiging en netwerkbeperkingen blijven van kracht na toelating.
- Brede kantoortoegang volgt niet uit één voltooide scan.
- Eisen voor monitoring en beheer vragen de geïnformeerde aanvaarding van de eigenaar.
Een beleid dat afhangt van controles die de werknemer niet heeft aanvaard, of die de organisatie niet kan uitvoeren, is een document en geen grens. Zeg dat duidelijk, en bied het beheerde alternatief aan waar het gat niet kan worden gedicht.
Beslis wie de sessie en de gegevens sluit
Benoem vóór de goedkeuring de persoon die verantwoordelijk is voor het intrekken van toegang, het omgaan met een verloren apparaat en alle bedrijfsmateriaal dat lokaal wordt bewaard. Test het beoogde werk met een gewoon account, en bevestig dat niet-verwante resources niet beschikbaar zijn waar het ontwerp zegt dat ze dat niet zouden moeten zijn.
De afgeronde beslissing leest als een zin met vier vakken: wat de persoon kan gebruiken, vanaf welk geschikt apparaat, via welk toegangspunt, met welke toestemming voor lokale gegevens. Alles korter is een ja of nee naast de woorden VPN-toegang, en het laat het deel van het verzoek met gevolgen onbeantwoord.