การเข้าถึง VPN ในแบบ BYOD ก็เป็นการตัดสินใจเรื่องการเก็บรักษาข้อมูลเช่นกัน
คำว่าใช่หรือไม่ใช่ข้างการเข้าถึง VPN ปล่อยส่วนที่ยากไว้โดยไม่มีคำตอบ จงตัดสินใจเรื่องการเชื่อมต่อ การใช้ทรัพยากร และการเก็บไว้ในเครื่องแยกกัน แล้วจึงเลือกสภาพแวดล้อม
คำขอมาเป็นประโยคเดียว: คนนี้ใช้ VPN จากแล็ปท็อปของตัวเองได้หรือไม่ การตอบว่าใช่หรือไม่ใช่แทบไม่ตัดสินอะไรเลย มีสิทธิ์แยกกันสามอย่างซ่อนอยู่ในคำถาม และแต่ละอย่างล้มเหลวต่างกัน มองอุโมงค์เป็นส่วนที่ง่าย และมองการตัดสินใจเรื่องข้อมูลเป็นส่วนที่ต้องมีเจ้าของ
แบ่งคำขอออกเป็นสามสิทธิ์
อธิบายผลลัพธ์ที่แคบและมีประโยชน์ก่อน: อ่านเอกสารหนึ่งชุด แก้ไขระเบียนในแอปพลิเคชันที่ระบุ หรือดูแลเซิร์ฟเวอร์หนึ่งเครื่อง จากนั้นตัดสินใจแต่ละสิทธิ์แยกกัน
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
ผู้ตรวจทานอาจต้องการสิทธิ์อ่านเอกสารหนึ่งชุดโดยไม่มีการเข้าถึงไฟล์ที่ใช้ร่วมกันทั่วไป และไม่ได้รับอนุญาตให้ซิงค์โฟลเดอร์ทั้งแผนก เส้นทางซับเน็ตที่กว้างไม่อาจแสดงสิ่งนั้นได้ และบัญชีแอปพลิเคชันแบบอ่านอย่างเดียวไม่หยุดคนจากการเก็บสิ่งที่หน้าจอแสดงให้เห็น
เลือกสภาพแวดล้อมการทำงานจากกฎเรื่องข้อมูล
หากจำเป็นต้องมีสำเนาในเครื่องที่ได้รับอนุมัติจริง ๆ จงกำหนดว่าอยู่ที่ใดได้ ป้องกันอย่างไร อยู่นานเท่าใด และใครเป็นผู้ลบ รวมถึงสำรองข้อมูลและบริการซิงค์ส่วนบุคคลในการตัดสินใจนั้นด้วย เพราะบริการเหล่านี้คัดลอกไฟล์อีกครั้งตามตารางของตัวเอง การเพิกถอนการเข้าถึง VPN ภายหลังไม่สามารถเรียกเอกสารที่อยู่ในไดรฟ์คลาวด์ของใครคนหนึ่งแล้วกลับมาได้
หากงานต้องอยู่ในสภาพแวดล้อมที่มีการจัดการ เดสก์ท็อประยะไกลช่วยลดความจำเป็นในการวางไฟล์ไว้ในเครื่อง แต่มันไม่ใช่ขอบเขตห้ามคัดลอกโดยอัตโนมัติ เอกสารของ Microsoft เกี่ยวกับ คุณสมบัติ RDP อธิบายการเปลี่ยนเส้นทางคลิปบอร์ดแยกจากการเปลี่ยนเส้นทางไดรฟ์ ดังนั้นจงตรวจสอบนโยบายไคลเอนต์และบริการที่มีผลจริงในการติดตั้งของคุณ แทนที่จะสันนิษฐานว่าเซสชันเดสก์ท็อปปิดทั้งสองช่องทาง
จากนั้นมองข้ามช่องทางที่ชัดเจน แอปพลิเคชันมีฟังก์ชันส่งออก ไคลเอนต์อีเมลมีปุ่มแนบไฟล์ และกล้องโทรศัพท์ที่หันไปทางหน้าจอเป็นวิธีถ่ายโอนที่ไม่มีใครแพตช์ได้ การบล็อกช่องทางหนึ่งเป็นการควบคุมจริง การเรียกมันว่าการรับประกันการไม่คัดลอกคือวิธีเขียนนโยบายที่รักษาไม่ได้
หากขั้นตอนทำงานที่อนุญาตไม่สามารถตอบสนองข้อกำหนดเรื่องข้อมูลได้ คำตอบคืออุปกรณ์ที่มีการจัดการหรือการจัดการการเข้าถึงแบบอื่น การเข้ารหัสในอุโมงค์ไม่เปลี่ยนสิ่งที่คนทำได้กับสิ่งที่เขาเห็น จงเขียนสิ่งนั้นไว้ในบันทึกการตัดสินใจแทนที่จะปล่อยให้เป็นนัย มิฉะนั้นผู้ตรวจทานคนต่อไปจะอนุมัติคำขอเดิมโดยมีช่องโหว่เดิม
ทำให้สภาพอุปกรณ์เป็นเงื่อนไข ไม่ใช่ใบรับรอง
กำหนดข้อกำหนดปลายทางที่องค์กรประเมินและสนับสนุนได้จริง: ระบบปฏิบัติการที่ได้รับการดูแล การป้องกันที่ทำงานได้ การปกป้องบัญชี ไคลเอนต์การเข้าถึงที่รองรับ จากนั้นระบุว่าเกิดอะไรขึ้นเมื่ออุปกรณ์ไม่เป็นไปตามนั้น เพราะนั่นคือครึ่งหนึ่งของนโยบายที่ทุกคนลืมเขียน
- ผลลัพธ์สภาพอุปกรณ์อธิบายเงื่อนไขที่ตรวจสอบ ณ ขณะนั้น ไม่ใช่พฤติกรรมในอนาคตของแล็ปท็อป
- การอนุญาตแอปพลิเคชันและข้อจำกัดเครือข่ายยังคงอยู่หลังการรับเข้า
- การเข้าถึงสำนักงานในวงกว้างไม่ได้เกิดจากการสแกนครั้งเดียวที่เสร็จสิ้น
- ข้อกำหนดด้านการเฝ้าระวังและการจัดการต้องได้รับการยอมรับอย่างรู้แจ้งจากเจ้าของ
นโยบายที่พึ่งพาการควบคุมที่พนักงานไม่ได้ยอมรับ หรือที่องค์กรดำเนินการไม่ได้ เป็นเอกสารไม่ใช่ขอบเขต จงพูดให้ชัดและเสนอทางเลือกที่มีการจัดการในจุดที่ช่องว่างปิดไม่ได้
ตัดสินใจว่าใครจะปิดเซสชันและข้อมูล
ก่อนอนุมัติ จงระบุผู้รับผิดชอบในการถอนการเข้าถึง การจัดการอุปกรณ์ที่สูญหาย และวัสดุใด ๆ ของบริษัทที่เก็บไว้ในเครื่อง ทดสอบงานที่ตั้งใจด้วยบัญชีธรรมดา และยืนยันว่าทรัพยากรที่ไม่เกี่ยวข้องไม่พร้อมใช้งานในจุดที่การออกแบบระบุว่าควรเป็น
การตัดสินใจที่เสร็จสมบูรณ์อ่านได้เหมือนประโยคที่มีสี่ช่อง: คนใช้สิ่งที่ใด จากอุปกรณ์ที่เข้าเกณฑ์ใด ผ่านจุดเข้าที่ใด ด้วยสิทธิ์ข้อมูลในเครื่องแบบใด สิ่งที่สั้นกว่านั้นคือใช่หรือไม่ใช่ข้างคำว่าเข้าถึง VPN และปล่อยส่วนที่สำคัญของคำขอไว้โดยไม่มีคำตอบ