Dostop VPN v modelu BYOD je tudi odločitev o hrambi podatkov
Da ali ne ob dostopu VPN pušča težji del brez odgovora. Ločeno odločite o povezavi, uporabi virov in lokalni hrambi, nato izberite okolje.
Zahteva prispe kot en stavek: ali lahko ta oseba uporablja VPN s svojim prenosnikom? Odgovor da ali ne ne reši skoraj ničesar. V vprašanju se skrivajo tri ločena dovoljenja in vsako odpove na drugačen način. Tunel obravnavajte kot lažji del, odločitev o podatkih pa kot tisto, ki potrebuje lastnika.
Zahtevo razdelite na tri dovoljenja
Najprej opišite ozek koristen izid: branje ene zbirke dokumentov, urejanje zapisov v imenovani aplikaciji ali upravljanje določenega strežnika. Nato odločite o vsakem dovoljenju posebej.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Pregledovalec lahko potrebuje bralni dostop do ene zbirke brez dostopa do splošne datotečne skupne rabe in brez pravice do sinhronizacije celotne mape oddelka. Široka pot podomrežja tega ne zna izraziti, račun aplikacije samo za branje pa osebe ne ustavi pri tem, da obdrži, kar ji pokaže zaslon.
Delovno okolje izberite po pravilu o podatkih
Če so odobrene lokalne kopije resnično potrebne, določite, kje smejo biti, kako so zaščitene, kako dolgo ostanejo in kdo jih odstrani. V to odločitev vključite varnostne kopije in osebne storitve sinhronizacije, ker datoteko znova kopirajo po svojem urniku. Poznejši odvzem dostopa VPN ne vrne dokumenta, ki že leži v nekem oblaku.
Če mora delo ostati v upravljanem okolju, oddaljeno namizje zmanjša potrebo po lokalnem shranjevanju datotek. Ni pa samodejna meja prepovedi kopiranja. Microsoftova dokumentacija o lastnostih RDP opisuje preusmerjanje odložišča ločeno od preusmerjanja pogonov, zato preverite dejanske pravilnike odjemalca in storitve v svoji namestitvi, namesto da bi predpostavili, da seja namizja onemogoči oba kanala.
Nato poglejte onkraj očitnih kanalov. Aplikacije imajo funkcije izvoza, poštni odjemalci imajo gumbe za priloge, telefon s kamero, obrnjen proti zaslonu, pa je način prenosa, ki ga nihče ne more zakrpati. Blokiranje enega kanala je resničen nadzor; imenovati ga zagotovilo proti kopiranju pomeni napisati pravilnik, ki ga ni mogoče izvajati.
Če dovoljeni potek dela ne more izpolniti zahteve glede podatkov, je odgovor upravljana naprava ali drugačna ureditev dostopa. Šifriranje v tunelu ne spremeni tega, kar lahko oseba stori s tem, kar vidi. To povejte v zapisu odločitve, namesto da bi ostalo implicitno. Sicer naslednji pregledovalec odobri isto zahtevo z isto vrzeljo.
Stanje naprave naj bo pogoj, ne potrdilo
Določite zahteve za končno točko, ki jih organizacija zmore resnično oceniti in podpreti: vzdrževan operacijski sistem, delujoča zaščita, zaščita računa, podprt odjemalec dostopa. Nato navedite, kaj se zgodi, ko jim naprava ne ustreza več, saj je to tista polovica pravilnika, ki jo vsi pozabijo napisati.
- Izid stanja opisuje pogoje, preverjene v tistem trenutku, ne prihodnjega vedenja prenosnika.
- Avtorizacija aplikacij in omrežne omejitve ostanejo v veljavi tudi po sprejemu.
- Širok pisarniški dostop ne izhaja iz enega končanega pregleda.
- Zahteve za spremljanje in upravljanje potrebujejo lastnikovo informirano soglasje.
Pravilnik, ki je odvisen od nadzorov, ki jih zaposleni ni sprejel ali jih organizacija ne more izvajati, je dokument in ne meja. Povejte to odkrito in ponudite upravljano alternativo tam, kjer vrzeli ni mogoče zapreti.
Odločite, kdo zapre sejo in podatke
Pred odobritvijo imenujte osebo, odgovorno za odvzem dostopa, za ravnanje z izgubljeno napravo in za vsak lokalno shranjen material podjetja. Preizkusite predvideno delo z običajnim računom in potrdite, da so nepovezani viri nedosegljivi tam, kjer zasnova pravi, da morajo biti.
Končna odločitev se bere kot stavek s štirimi mesti: kaj oseba lahko uporablja, s katere ustrezne naprave, skozi katero vstopno točko in s kakšnim dovoljenjem za lokalne podatke. Vse krajše je da ali ne ob besedah dostop VPN in pusti brez odgovora tisti del zahteve, ki ima posledice.