VPN-åtkomst i BYOD är också ett beslut om datalagring
Ett ja eller nej vid VPN-åtkomst lämnar det svåra obesvarat. Bestäm anslutning, resursanvändning och lokal lagring var för sig och välj sedan miljö.
Begäran kommer som en enda mening: kan den här personen använda VPN från sin egen laptop? Ett ja eller nej avgör nästan ingenting. Tre separata behörigheter gömmer sig i frågan, och de brister på olika sätt. Behandla tunneln som den lätta delen och databeslutet som det som behöver en ägare.
Dela upp begäran i tre behörigheter
Beskriv först det snäva, användbara resultatet: läsa en dokumentsamling, redigera poster i en namngiven applikation eller administrera en viss server. Bestäm sedan varje behörighet för sig.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
En granskare kan behöva läsbehörighet till en samling utan åtkomst till den allmänna filresursen och utan rätt att synkronisera en hel avdelningsmapp. En bred subnätväg kan inte uttrycka det, och ett skrivskyddat applikationskonto hindrar inte en person från att behålla det skärmen visar.
Välj arbetsmiljö utifrån dataregeln
Om godkända lokala kopior verkligen är nödvändiga, definiera var de får ligga, hur de skyddas, hur länge de stannar och vem som tar bort dem. Ta med säkerhetskopior och personliga synkroniseringstjänster i det beslutet, eftersom de kopierar filen igen enligt sitt eget schema. Att senare återkalla VPN-åtkomst hämtar inte tillbaka ett dokument som redan ligger i någons molndrive.
Om arbetet ska stanna i en hanterad miljö minskar ett fjärrskrivbord behovet av att lägga filer lokalt. Det är inte en automatisk gräns mot kopiering. Microsofts dokumentation om RDP-egenskaperna beskriver omdirigering av urklipp separat från omdirigering av enheter, så kontrollera de faktiska klient- och tjänstepolicyerna i din driftsättning i stället för att anta att en skrivbordssession stänger av båda kanalerna.
Titta sedan bortom de uppenbara kanalerna. Applikationer har exportfunktioner, e-postklienter har bilageknappar och en telefonkamera riktad mot en skärm är en överföringsmetod som ingen kan lappa. Att blockera en kanal är en verklig kontroll; att kalla det en garanti mot kopiering är hur man skriver en policy som inte går att hålla.
Om det tillåtna arbetsflödet inte kan uppfylla datakravet är svaret en hanterad enhet eller ett annat åtkomstupplägg. Kryptering i tunneln ändrar inte vad personen kan göra med det den ser. Säg det i beslutsprotokollet i stället för att lämna det underförstått. Annars godkänner nästa granskare samma begäran med samma lucka.
Gör enhetens skick till ett villkor, inte ett intyg
Definiera de slutpunktskrav som organisationen faktiskt kan bedöma och stötta: ett underhållet operativsystem, fungerande skydd, kontosäkerhet och den stödda åtkomstklienten. Ange sedan vad som händer när enheten slutar uppfylla dem, för det är den halvan av policyn som alla glömmer att skriva.
- Ett skickresultat beskriver de villkor som kontrollerades i det ögonblicket, inte laptopens framtida beteende.
- Applikationsauktorisering och nätverksbegränsningar ligger kvar efter insläpp.
- Bred kontorsåtkomst följer inte av en enda genomförd genomsökning.
- Krav på övervakning och hantering behöver ägarens informerade acceptans.
En policy som bygger på kontroller som medarbetaren inte har accepterat, eller som organisationen inte kan driva, är ett dokument och inte en gräns. Säg det rakt ut och erbjud det hanterade alternativet där luckan inte kan stängas.
Bestäm vem som stänger sessionen och data
Innan godkännandet, utse den person som ansvarar för att ta bort åtkomst, hantera en förlorad enhet och för allt företagsmaterial som behålls lokalt. Testa det avsedda arbetet med ett vanligt konto och bekräfta att orelaterade resurser är otillgängliga där designen säger att de ska vara det.
Det färdiga beslutet läses som en mening med fyra platser: vad personen får använda, från vilken kvalificerad enhet, genom vilken ingång och med vilken lokal databehörighet. Allt kortare är ett ja eller nej bredvid orden VPN-åtkomst och lämnar den avgörande delen av begäran obesvarad.