BYOD VPN-tilgang er også eit vedtak om dataoppbevaring
Eit ja eller nei ved sida av VPN-tilgang lèt den vanskelege delen stå uanswara. Avgjer tilknyting, ressursbruk og lokal oppbevaring kvar for seg, og vel så miljøet.
Førespurnaden kjem som éi setning: kan denne personen bruke VPN frå sin eigen berbare datamaskin? Å svare ja eller nei avgjer nesten ingenting. Tre åtskilde løyve ligg gøymde i spørsmålet, og dei sviktar på kvar sin måte. Sjå på tunnelen som den lette delen og datavedtaket som den som treng ein eigar.
Del førespurnaden i tre løyve
Skildre først det smale, nyttige resultatet: lese éi dokumentsamling, redigere postar i ein namngjeven applikasjon eller administrere ein bestemt tenar. Avgjer deretter kvart løyve for seg.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Ein gjennomgangar kan trenge lesetilgang til éi samling utan tilgang til den felles fildelinga og utan løyve til å synkronisere ei heil avdelingsmappe. Ei brei subnett-rute kan ikkje uttrykke det, og ein skriveverna applikasjonskonto hindrar ikkje ein person i å halde på det skjermen viser.
Vel arbeidsmiljøet ut frå dataregelen
Viss godkjende lokale kopiar verkeleg er naudsynte, må du definere kvar dei kan liggje, korleis dei blir verna, kor lenge dei blir verande og kven som fjernar dei. Ta med tryggingskopiar og personlege synkroniseringstenester i det vedtaket, fordi dei kopierer fila på nytt etter sin eigen plan. Å trekkje tilbake VPN-tilgang seinare hentar ikkje attende eit dokument som allereie ligg i skydisken til nokon.
Viss arbeidet skal bli i eit administrert miljø, reduserer ein ekstern skrivebordsskjerm trongen til å leggje filer lokalt. Det er ikkje ei automatisk grense mot kopiering. Microsoft sin referanse for RDP-eigenskapar skildrar vidaresending av utklippstavla åtskild frå vidaresending av stasjonar, så kontroller gjeldande klient- og tenestepolicyar for utrullinga di i staden for å gå ut frå at ein skrivebordsøkt slår av begge kanalane.
Sjå så utover dei openberre kanalane. Applikasjonar har eksportfunksjonar, e-postklientar har vedleggsknappar, og eit mobilkamera retta mot ein skjerm er ein overføringsmetode ingen kan lappe. Å blokkere éin kanal er ei reell styring; å kalle det ein garanti mot kopiering er måten ein skriv ein policy som ikkje kan haldast.
Viss den tillatne arbeidsflyten ikkje kan oppfylle datakravet, er svaret ein administrert eining eller ei anna tilgangsordning. Krypteringa i tunnelen endrar ikkje kva personen kan gjere med det han ser. Sei det i vedtaksprotokollen i staden for å la det liggje underforstått. Elles godkjenner neste gjennomgangar den same førespurnaden med det same hòlet.
Gjer tilstanden til eininga til eit vilkår, ikkje eit sertifikat
Definer krava til endepunktet som organisasjonen faktisk kan vurdere og støtte: eit vedlikehalde operativsystem, verksemddyktig vern, kontosikring, den støtta tilgangsklienten. Sei deretter kva som skjer når eininga sluttar å oppfylle dei, for det er den halvdelen av policyen alle gløymer å skrive.
- Eit tilstandsresultat skildrar vilkåra som vart kontrollerte i det augneblinken, ikkje den framtidige åtferda til den berbare datamaskina.
- Applikasjonsautorisasjon og nettverksavgrensingar gjeld framleis etter innslepp.
- Brei kontortilgang følgjer ikkje av éin fullført skann.
- Krav til overvaking og styring treng den informerte aksepten til eigaren.
Ein policy som er avhengig av kontrollar arbeidstakaren ikkje har godteke, eller som organisasjonen ikkje kan drive, er eit dokument og ikkje ei grense. Sei det tydeleg, og tilby det administrerte alternativet der hòlet ikkje kan lukkast.
Avgjer kven som lukkar økta og dataa
Før godkjenning, nemn personen som er ansvarleg for å fjerne tilgang, handsame ei mist eining og for alt bedriftsmateriell som blir oppbevart lokalt. Test det tiltenkte arbeidet med ein vanleg konto, og stadfest at urelaterte ressursar ikkje er tilgjengelege der designet seier dei skal vere det.
Det ferdige vedtaket blir lese som ei setning med fire plassar: kva personen kan bruke, frå kva eigna eining, gjennom kva inngangspunkt, med kva løyve for lokale data. Alt kortare er eit ja eller nei ved sida av orda VPN-tilgang, og det lèt den tyngande delen av førespurnaden stå uanswara.