Доступ по VPN в схеме BYOD — это ещё и решение о хранении данных
Ответ да или нет рядом с доступом по VPN оставляет главное без ответа. Решите отдельно подключение, использование ресурсов и локальное хранение, затем выберите среду.
Запрос приходит одной фразой: может ли этот человек пользоваться VPN со своего ноутбука? Ответ да или нет почти ничего не решает. Внутри вопроса скрыты три отдельных разрешения, и отказывают они по-разному. Считайте туннель простой частью, а решение о данных — той, у которой должен быть владелец.
Разделите запрос на три разрешения
Сначала опишите узкий полезный результат: чтение одной коллекции документов, правка записей в названном приложении или администрирование конкретного сервера. Затем решите каждое разрешение отдельно.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Проверяющему может понадобиться доступ на чтение к одной коллекции без доступа к общей файловой папке и без права синхронизировать целый каталог отдела. Широкий маршрут подсети этого не выражает, а учётная запись приложения только для чтения не мешает человеку сохранить то, что показывает экран.
Выберите рабочую среду, исходя из правила о данных
Если одобренные локальные копии действительно необходимы, определите, где им разрешено находиться, как они защищаются, сколько живут и кто их удаляет. Включите в это решение резервные копии и личные сервисы синхронизации, потому что они копируют файл заново по своему расписанию. Отзыв доступа по VPN позже не вернёт документ, который уже лежит в чьём-то облачном диске.
Если работа должна оставаться в управляемой среде, удалённый рабочий стол снижает потребность хранить файлы локально. Но это не автоматическая граница запрета копирования. Документация Microsoft о свойствах RDP описывает перенаправление буфера обмена отдельно от перенаправления дисков, поэтому проверяйте действующие политики клиента и службы в своём развёртывании, а не предполагайте, что сеанс рабочего стола отключает оба канала.
Затем посмотрите за пределы очевидных каналов. У приложений есть функции экспорта, у почтовых клиентов — кнопки вложения, а камера телефона, направленная на экран, — способ передачи, который никто не закроет заплаткой. Блокировка одного канала — реальная мера; называть её гарантией против копирования значит написать политику, которую невозможно соблюсти.
Если разрешённый процесс не может выполнить требование к данным, ответ — управляемое устройство или иная схема доступа. Шифрование в туннеле не меняет того, что человек может сделать с тем, что видит. Скажите это в записи решения, а не оставляйте подразумеваемым. Иначе следующий проверяющий одобрит тот же запрос с тем же пробелом.
Сделайте состояние устройства условием, а не сертификатом
Определите требования к конечной точке, которые организация действительно способна оценить и поддерживать: обслуживаемая операционная система, работающая защита, меры безопасности учётной записи и поддерживаемый клиент доступа. Затем укажите, что происходит, когда устройство перестаёт им соответствовать, потому что именно эту половину политики все забывают написать.
- Результат проверки состояния описывает условия, проверенные в тот момент, а не будущее поведение ноутбука.
- Авторизация приложений и сетевые ограничения сохраняются и после допуска.
- Широкий доступ в офис не следует из одного завершённого сканирования.
- Требования к мониторингу и управлению нуждаются в осознанном согласии владельца.
Политика, опирающаяся на меры, которые сотрудник не принял или которые организация не может обеспечить, — это документ, а не граница. Скажите об этом прямо и предложите управляемую альтернативу там, где разрыв нельзя закрыть.
Решите, кто закрывает сеанс и данные
До утверждения назовите человека, ответственного за отзыв доступа, за действие при утере устройства и за любые материалы компании, хранящиеся локально. Проверьте предполагаемую работу на обычной учётной записи и подтвердите, что посторонние ресурсы недоступны там, где по проекту их быть не должно.
Готовое решение читается как фраза с четырьмя местами: что человек может использовать, с какого допустимого устройства, через какую точку входа, с каким разрешением на локальные данные. Всё более короткое — это да или нет рядом со словами доступ по VPN, и оно оставляет без ответа самую важную часть запроса.