VPN pristup u BYOD modelu je i odluka o čuvanju podataka
Da ili ne pored VPN pristupa ostavlja teži deo bez odgovora. Odlučite odvojeno o vezi, korišćenju resursa i lokalnom čuvanju, pa izaberite okruženje.
Zahtev stiže kao jedna rečenica: može li ta osoba da koristi VPN sa svog laptopa? Odgovor da ili ne ne rešava skoro ništa. U pitanju se kriju tri odvojene dozvole i svaka pada na drugačiji način. Tretirajte tunel kao lakši deo, a odluku o podacima kao onu kojoj treba vlasnik.
Podelite zahtev na tri dozvole
Prvo opišite uzak i koristan ishod: čitanje jedne zbirke dokumenata, uređivanje zapisa u imenovanoj aplikaciji ili administracija određenog servera. Zatim odlučite o svakoj dozvoli pojedinačno.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Recenzentu može trebati pristup za čitanje jednoj zbirci bez pristupa opštem deljenju datoteka i bez prava da sinhronizuje ceo folder odeljenja. Široka ruta podske nije to u stanju da izrazi, a nalog aplikacije samo za čitanje ne sprečava osobu da zadrži ono što joj ekran pokaže.
Izaberite radno okruženje prema pravilu o podacima
Ako su odobrene lokalne kopije zaista neophodne, odredite gde smeju da budu, kako se štite, koliko ostaju i ko ih uklanja. U tu odluku uključite rezervne kopije i lične servise za sinhronizaciju, jer oni ponovo kopiraju datoteku po svom rasporedu. Kasnije ukidanje VPN pristupa ne vraća dokument koji već stoji u nečijem oblaku.
Ako posao treba da ostane u upravljanom okruženju, udaljena radna površina smanjuje potrebu da se datoteke stavljaju lokalno. To nije automatska granica zabrane kopiranja. Microsoftova dokumentacija o svojstvima RDP-a opisuje preusmeravanje privremene memorije odvojeno od preusmeravanja diskova, pa proverite stvarne politike klijenta i servisa u svom postavljanju umesto da pretpostavite da sesija radne površine isključuje oba kanala.
Zatim pogledajte izvan očiglednih kanala. Aplikacije imaju funkcije izvoza, poštanski klijenti imaju dugmad za priloge, a kamera telefona uperena u ekran je način prenosa koji niko ne može zakrpiti. Blokiranje jednog kanala je stvarna kontrola; nazvati to garancijom protiv kopiranja znači napisati politiku koja se ne može održati.
Ako dozvoljeni tok rada ne može da ispuni zahtev o podacima, odgovor je upravljani uređaj ili drugačiji aranžman pristupa. Šifrovanje u tunelu ne menja šta osoba može da uradi sa onim što vidi. Recite to u zapisu odluke umesto da ostane implicirano. Inače sledeći recenzent odobrava isti zahtev sa istom prazninom.
Stanje uređaja učinite uslovom, a ne sertifikatom
Definišite zahteve za krajnju tačku koje organizacija zaista može da proceni i podrži: održavan operativni sistem, ispravna zaštita, mere zaštite naloga, podržani klijent pristupa. Zatim navedite šta se dešava kada uređaj prestane da ih ispunjava, jer to je ona polovina politike koju svi zaborave da napišu.
- Rezultat stanja opisuje uslove proverene u tom trenutku, a ne buduće ponašanje laptopa.
- Autorizacija aplikacija i mrežna ograničenja ostaju na snazi i posle prijema.
- Širok pristup kancelariji ne sledi iz jednog završenog skeniranja.
- Zahtevi za nadzor i upravljanje traže informisano prihvatanje vlasnika.
Politika koja zavisi od kontrola koje zaposleni nije prihvatio ili koje organizacija ne može da sprovede jeste dokument, a ne granica. Recite to otvoreno i ponudite upravljanu alternativu tamo gde se praznina ne može zatvoriti.
Odlučite ko zatvara sesiju i podatke
Pre odobrenja imenujte osobu zaduženu za ukidanje pristupa, za postupanje sa izgubljenim uređajem i za svaki materijal kompanije koji se čuva lokalno. Testirajte predviđeni rad sa običnim nalogom i potvrdite da su nepovezani resursi nedostupni tamo gde dizajn kaže da treba da budu.
Gotova odluka čita se kao rečenica sa četiri mesta: šta osoba može da koristi, sa kog podobnog uređaja, kroz koju ulaznu tačku i uz kakvu dozvolu za lokalne podatke. Sve kraće je da ili ne pored reči VPN pristup i ostavlja bez odgovora deo zahteva koji nosi posledice.