Dostęp VPN w modelu BYOD to także decyzja o retencji danych
Odpowiedź tak lub nie przy dostępie VPN nie rozwiązuje trudnej części. Rozstrzygnij osobno połączenie, korzystanie z zasobów i lokalną retencję, a potem wybierz środowisko.
Wniosek przychodzi jako jedno zdanie: czy ta osoba może używać VPN-a ze swojego laptopa? Odpowiedź tak albo nie nie rozstrzyga prawie niczego. W pytaniu ukryte są trzy odrębne uprawnienia i każde zawodzi inaczej. Potraktuj tunel jako część łatwą, a decyzję o danych jako tę, która wymaga właściciela.
Podziel wniosek na trzy uprawnienia
Najpierw opisz wąski, użyteczny rezultat: odczyt jednego zbioru dokumentów, edycję rekordów we wskazanej aplikacji albo administrowanie konkretnym serwerem. Potem rozstrzygnij każde uprawnienie osobno.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Recenzent może potrzebować dostępu do odczytu jednego zbioru bez dostępu do ogólnego udziału plików i bez prawa synchronizowania całego folderu działu. Szeroka trasa podsieci tego nie wyrazi, a konto aplikacji tylko do odczytu nie powstrzyma człowieka przed zachowaniem tego, co widzi na ekranie.
Wybierz środowisko pracy na podstawie reguły dotyczącej danych
Jeśli zatwierdzone lokalne kopie są naprawdę konieczne, określ, gdzie mogą się znajdować, jak są chronione, jak długo pozostają i kto je usuwa. Uwzględnij w tej decyzji kopie zapasowe i prywatne usługi synchronizacji, ponieważ kopiują plik ponownie według własnego harmonogramu. Późniejsze odebranie dostępu VPN nie odzyska dokumentu, który już leży w czyimś dysku w chmurze.
Jeśli praca ma pozostać w zarządzanym środowisku, pulpit zdalny zmniejsza potrzebę umieszczania plików lokalnie. Nie jest jednak automatyczną granicą zakazu kopiowania. Dokumentacja Microsoft opis właściwości RDP osobno opisuje przekierowanie schowka i przekierowanie dysków, więc sprawdź faktycznie obowiązujące zasady klienta i usługi w swoim wdrożeniu, zamiast zakładać, że sesja pulpitu wyłącza oba kanały.
Potem spójrz poza oczywiste kanały. Aplikacje mają funkcje eksportu, klienci poczty mają przyciski załączników, a aparat telefonu skierowany na ekran to metoda transferu, której nikt nie załata. Zablokowanie jednego kanału to realna kontrola; nazywanie tego gwarancją zakazu kopiowania to sposób pisania polityki, której nie da się utrzymać.
Jeśli dozwolony proces nie spełnia wymogu dotyczącego danych, odpowiedzią jest urządzenie zarządzane albo inny układ dostępu. Szyfrowanie w tunelu nie zmienia tego, co człowiek może zrobić z tym, co widzi. Zapisz to w rejestrze decyzji, zamiast zostawiać to domyślnym. W przeciwnym razie następny recenzent zatwierdzi ten sam wniosek z tą samą luką.
Uczyń stan urządzenia warunkiem, a nie certyfikatem
Zdefiniuj wymagania wobec punktu końcowego, które organizacja naprawdę potrafi ocenić i wesprzeć: utrzymywany system operacyjny, działające zabezpieczenia, zabezpieczenia konta, wspierany klient dostępu. Potem określ, co się dzieje, gdy urządzenie przestaje je spełniać, bo to jest ta połowa polityki, o której wszyscy zapominają napisać.
- Wynik oceny stanu opisuje warunki sprawdzone w danej chwili, a nie przyszłe zachowanie laptopa.
- Autoryzacja aplikacji i ograniczenia sieciowe pozostają w mocy po dopuszczeniu.
- Szeroki dostęp biurowy nie wynika z jednego zakończonego skanowania.
- Wymagania dotyczące monitorowania i zarządzania wymagają świadomej akceptacji właściciela.
Polityka, która opiera się na kontrolach niezaakceptowanych przez pracownika albo niemożliwych do obsłużenia przez organizację, jest dokumentem, a nie granicą. Powiedz to wprost i zaproponuj zarządzaną alternatywę tam, gdzie luki nie da się zamknąć.
Zdecyduj, kto zamyka sesję i dane
Przed zatwierdzeniem wskaż osobę odpowiedzialną za odebranie dostępu, za postępowanie z utraconym urządzeniem i za wszelkie dane firmowe przechowywane lokalnie. Przetestuj zamierzoną pracę na zwykłym koncie i potwierdź, że niepowiązane zasoby są niedostępne tam, gdzie według projektu być nie powinny.
Gotowa decyzja brzmi jak zdanie z czterema polami: co dana osoba może wykorzystywać, z jakiego kwalifikującego się urządzenia, przez który punkt wejścia i z jakim uprawnieniem do danych lokalnych. Wszystko krótsze to odpowiedź tak albo nie obok słów dostęp VPN i pozostawia bez odpowiedzi tę część wniosku, która ma konsekwencje.