Accesul VPN prin BYOD este și o decizie privind păstrarea datelor
Un da sau nu lângă accesul VPN lasă partea grea fără răspuns. Decide separat conexiunea, utilizarea resurselor și păstrarea locală, apoi alege mediul.
Cererea vine ca o singură propoziție: poate această persoană să folosească VPN-ul de pe laptopul propriu? Un răspuns da sau nu nu lămurește aproape nimic. În întrebare se ascund trei permisiuni distincte, iar ele eșuează în moduri diferite. Tratează tunelul ca partea ușoară și decizia privind datele ca pe cea care are nevoie de un responsabil.
Împarte cererea în trei permisiuni
Descrie mai întâi rezultatul îngust și util: citirea unei colecții de documente, editarea înregistrărilor într-o aplicație anume sau administrarea unui server anume. Apoi decide fiecare permisiune separat.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Un evaluator poate avea nevoie de acces de citire la o colecție fără acces la partajarea generală de fișiere și fără permisiunea de a sincroniza un întreg dosar de departament. O rută largă de subrețea nu poate exprima asta, iar un cont de aplicație doar pentru citire nu împiedică o persoană să păstreze ce îi arată ecranul.
Alege mediul de lucru pornind de la regula privind datele
Dacă copiile locale aprobate sunt cu adevărat necesare, definește unde pot sta, cum sunt protejate, cât timp rămân și cine le elimină. Include în această decizie copiile de siguranță și serviciile personale de sincronizare, pentru că ele copiază din nou fișierul după propriul program. Revocarea ulterioară a accesului VPN nu recuperează un document care se află deja în unitatea cloud a cuiva.
Dacă munca trebuie să rămână într-un mediu administrat, un desktop la distanță reduce nevoia de a plasa fișiere local. Nu este însă o graniță automată împotriva copierii. Documentația Microsoft privind proprietățile RDP descrie redirecționarea clipboardului separat de redirecționarea unităților, așa că verifică politicile efective ale clientului și ale serviciului în implementarea ta în loc să presupui că o sesiune de desktop dezactivează ambele canale.
Apoi privește dincolo de canalele evidente. Aplicațiile au funcții de export, clienții de e-mail au butoane de atașare, iar o cameră de telefon îndreptată spre un ecran este o metodă de transfer pe care nimeni nu o poate remedia. Blocarea unui canal este un control real; a o numi garanție împotriva copierii este felul în care se scrie o politică ce nu poate fi respectată.
Dacă fluxul de lucru permis nu poate satisface cerința privind datele, răspunsul este un dispozitiv administrat sau o altă soluție de acces. Criptarea din tunel nu schimbă ce poate face persoana cu ce vede. Spune asta în registrul deciziei în loc să o lași implicită. Altfel următorul evaluator aprobă aceeași cerere cu aceeași lipsă.
Fă starea dispozitivului o condiție, nu un certificat
Definește cerințele pentru endpoint pe care organizația le poate evalua și susține efectiv: un sistem de operare întreținut, protecție funcțională, măsuri de siguranță pentru cont și clientul de acces acceptat. Apoi precizează ce se întâmplă când dispozitivul nu le mai îndeplinește, pentru că aceasta este jumătatea de politică pe care toată lumea uită să o scrie.
- Un rezultat de stare descrie condițiile verificate în acel moment, nu comportamentul viitor al laptopului.
- Autorizarea aplicațiilor și restricțiile de rețea rămân în vigoare după admitere.
- Accesul larg la birou nu decurge dintr-o singură scanare finalizată.
- Cerințele de monitorizare și administrare au nevoie de acceptarea informată a responsabilului.
O politică ce depinde de controale pe care angajatul nu le-a acceptat ori pe care organizația nu le poate opera este un document, nu o graniță. Spune-o deschis și oferă alternativa administrată acolo unde lipsa nu poate fi închisă.
Decide cine închide sesiunea și datele
Înainte de aprobare, numește persoana responsabilă pentru retragerea accesului, pentru gestionarea unui dispozitiv pierdut și pentru orice material al companiei păstrat local. Testează munca intenționată cu un cont obișnuit și confirmă că resursele nelegate sunt indisponibile acolo unde proiectul spune că ar trebui să fie.
Decizia finală se citește ca o propoziție cu patru locuri: ce poate folosi persoana, de pe ce dispozitiv eligibil, prin ce punct de intrare, cu ce permisiune privind datele locale. Orice mai scurt este un da sau nu lângă cuvintele acces VPN și lasă fără răspuns partea cu consecințe a cererii.