Prístup k VPN v režime BYOD je aj rozhodnutie o uchovávaní údajov
Áno alebo nie pri prístupe k VPN necháva ťažkú časť nezodpovedanú. Rozhodnite oddelene o pripojení, využívaní zdrojov a lokálnom uchovávaní, potom vyberte prostredie.
Žiadosť prichádza ako jedna veta: môže táto osoba používať VPN zo svojho notebooku? Odpoveď áno alebo nie nevyrieši takmer nič. Vo vnútri otázky sa skrývajú tri oddelené oprávnenia a zlyhávajú rôznymi spôsobmi. Tunel berte ako ľahkú časť a rozhodnutie o údajoch ako to, ktoré potrebuje vlastníka.
Rozdeľte žiadosť na tri oprávnenia
Najprv opíšte úzky užitočný výsledok: čítanie jednej zbierky dokumentov, úprava záznamov v menovanej aplikácii alebo správa konkrétneho servera. Potom rozhodnite o každom oprávnení samostatne.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Recenzent môže potrebovať prístup na čítanie k jednej zbierke bez prístupu k všeobecnému zdieľaniu súborov a bez práva synchronizovať celý priečinok oddelenia. Široká trasa podsiete to nevie vyjadriť a účet aplikácie len na čítanie nezabráni človeku ponechať si to, čo mu obrazovka ukazuje.
Vyberte pracovné prostredie podľa pravidla o údajoch
Ak sú schválené lokálne kópie naozaj potrebné, určte, kde môžu byť, ako sú chránené, ako dlho zostávajú a kto ich odstraňuje. Do tohto rozhodnutia zahrňte zálohy a osobné synchronizačné služby, pretože súbor znova kopírujú podľa vlastného rozvrhu. Neskoršie odobratie prístupu k VPN nezíska späť dokument, ktorý už leží v niekom cloudovom disku.
Ak má práca zostať v spravovanom prostredí, vzdialená plocha znižuje potrebu umiestňovať súbory lokálne. Nie je to však automatická hranica zákazu kopírovania. Dokumentácia Microsoftu k vlastnostiam RDP opisuje presmerovanie schránky oddelene od presmerovania diskov, preto si overte skutočné politiky klienta a služby vo svojom nasadení, namiesto toho aby ste predpokladali, že relácia plochy vypína oba kanály.
Potom sa pozrite za očividné kanály. Aplikácie majú exportné funkcie, poštoví klienti majú tlačidlá príloh a fotoaparát telefónu namierený na obrazovku je spôsob prenosu, ktorý nikto nezapláta. Zablokovanie jedného kanála je skutočná kontrola; nazvať to zárukou proti kopírovaniu je spôsob, akým sa píše politika, ktorú nemožno dodržať.
Ak povolený postup nedokáže splniť požiadavku na údaje, odpoveďou je spravované zariadenie alebo iné usporiadanie prístupu. Šifrovanie v tuneli nemení to, čo človek môže urobiť s tým, čo vidí. Povedzte to v zázname rozhodnutia, namiesto toho aby to zostalo implicitné. Inak ďalší recenzent schváli tú istú žiadosť s tou istou medzerou.
Urobte stav zariadenia podmienkou, nie certifikátom
Definujte požiadavky na koncový bod, ktoré organizácia dokáže skutočne posúdiť a podporiť: udržiavaný operačný systém, fungujúca ochrana, zabezpečenie účtu, podporovaný klient prístupu. Potom uveďte, čo sa stane, keď zariadenie prestane tieto požiadavky spĺňať, pretože to je tá polovica politiky, na ktorú všetci zabúdajú.
- Výsledok stavu opisuje podmienky overené v tom okamihu, nie budúce správanie notebooku.
- Autorizácia aplikácií a sieťové obmedzenia zostávajú v platnosti aj po prijatí.
- Široký prístup do kancelárie nevyplýva z jedného dokončeného skenu.
- Požiadavky na monitorovanie a správu potrebujú informovaný súhlas vlastníka.
Politika, ktorá závisí od kontrol, ktoré zamestnanec neprijal alebo ktoré organizácia nedokáže prevádzkovať, je dokument, nie hranica. Povedzte to otvorene a ponúknite spravovanú alternatívu tam, kde sa medzera nedá uzavrieť.
Rozhodnite, kto uzatvorí reláciu a údaje
Pred schválením určte osobu zodpovednú za odobratie prístupu, za riešenie strateného zariadenia a za akýkoľvek firemný materiál uchovávaný lokálne. Otestujte zamýšľanú prácu s bežným účtom a potvrďte, že nesúvisiace zdroje sú nedostupné tam, kde to návrh hovorí.
Hotové rozhodnutie sa číta ako veta so štyrmi miestami: čo osoba môže používať, z akého vhodného zariadenia, cez ktorý vstupný bod a s akým oprávnením na lokálne údaje. Čokoľvek kratšie je áno alebo nie vedľa slov prístup k VPN a necháva bez odpovede tú časť žiadosti, ktorá má dôsledky.