VPN приступ у BYOD моделу је и одлука о чувању података
Да или не поред VPN приступа оставља тежи део без одговора. Одлучите одвојено о вези, коришћењу ресурса и локалном чувању, па изаберите окружење.
Захтев стиже као једна реченица: може ли та особа да користи VPN са свог лаптопа? Одговор да или не не решава скоро ништа. У питању се крију три одвојене дозволе и свака пада на другачији начин. Третирајте тунел као лакши део, а одлуку о подацима као ону којој треба власник.
Поделите захтев на три дозволе
Прво опишите узак и користан исход: читање једне збирке докумената, уређивање записа у именованој апликацији или администрација одређеног сервера. Затим одлучите о свакој дозволи појединачно.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Рецензенту може требати приступ за читање једној збирци без приступа општем дељењу датотека и без права да синхронизује цео фолдер одељења. Широка рута подмреже није то у стању да изрази, а налог апликације само за читање не спречава особу да задржи оно што јој екран покаже.
Изаберите радно окружење према правилу о подацима
Ако су одобрене локалне копије заиста неопходне, одредите где смеју да буду, како се штите, колико остају и ко их уклања. У ту одлуку укључите резервне копије и личне сервисе за синхронизацију, јер они поново копирају датотеку по свом распореду. Касније укидање VPN приступа не враћа документ који већ стоји у нечијем облаку.
Ако посао треба да остане у управљаном окружењу, удаљена радна површина смањује потребу да се датотеке стављају локално. То није аутоматска граница забране копирања. Микрософтова документација о својствима RDP-а описује преусмеравање привремене меморије одвојено од преусмеравања дискова, па проверите стварне политике клијента и сервиса у свом постављању уместо да претпоставите да сесија радне површине искључује оба канала.
Затим погледајте изван очигледних канала. Апликације имају функције извоза, поштански клијенти имају дугмад за прилоге, а камера телефона окренута ка екрану је начин преноса који нико не може да закрпи. Блокирање једног канала је стварна контрола; назвати то гаранцијом против копирања значи написати политику која се не може одржати.
Ако дозвољени ток рада не може да испуни захтев о подацима, одговор је управљани уређај или другачији аранжман приступа. Шифровање у тунелу не мења шта особа може да уради са оним што види. Реците то у запису одлуке уместо да остане имплицирано. Иначе следећи рецензент одобрава исти захтев са истом празнином.
Стање уређаја учините условом, а не сертификатом
Дефинишите захтеве за крајњу тачку које организација заиста може да процени и подржи: одржаван оперативни систем, исправна заштита, мере заштите налога, подржани клијент приступа. Затим наведите шта се дешава када уређај престане да их испуњава, јер то је она половина политике коју сви забораве да напишу.
- Резултат стања описује услове проверене у том тренутку, а не будуће понашање лаптопа.
- Ауторизација апликација и мрежна ограничења остају на снази и после пријема.
- Широк приступ канцеларији не следи из једног завршеног скенирања.
- Захтеви за надзор и управљање траже информисано прихватање власника.
Политика која зависи од контрола које запослени није прихватио или које организација не може да спроведе јесте документ, а не граница. Реците то отворено и понудите управљану алтернативу тамо где се празнина не може затворити.
Одлучите ко затвара сесију и податке
Пре одобрења именујте особу задужену за укидање приступа, за поступање са изгубљеним уређајем и за сваки материјал компаније који се чува локално. Тестирајте предвиђени рад са обичним налогом и потврдите да су неповезани ресурси недоступни тамо где дизајн каже да треба да буду.
Готова одлука чита се као реченица са четири места: шта особа може да користи, са ког подобног уређаја, кроз коју улазну тачку и уз какву дозволу за локалне податке. Све краће је да или не поред речи VPN приступ и оставља без одговора део захтева који носи последице.