Доступ до VPN у моделі BYOD — це також рішення про зберігання даних
Відповідь так або ні поруч із доступом до VPN залишає складну частину без відповіді. Вирішіть окремо підключення, використання ресурсів і локальне зберігання, а потім виберіть середовище.
Запит надходить одним реченням: чи може ця людина користуватися VPN зі свого ноутбука? Відповідь так або ні майже нічого не вирішує. Усередині питання ховаються три окремі дозволи, і відмовляють вони по-різному. Вважайте тунель легкою частиною, а рішення про дані — тим, яке потребує власника.
Поділіть запит на три дозволи
Спочатку опишіть вузький корисний результат: читання однієї колекції документів, редагування записів у названому застосунку або адміністрування конкретного сервера. Потім вирішіть кожен дозвіл окремо.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Рецензентові може знадобитися доступ на читання до однієї колекції без доступу до загального файлового ресурсу і без права синхронізувати цілу теку відділу. Широкий маршрут підмережі цього не виражає, а обліковий запис застосунку лише для читання не заважає людині зберегти те, що показує екран.
Виберіть робоче середовище за правилом про дані
Якщо схвалені локальні копії справді потрібні, визначте, де їм дозволено бути, як вони захищені, скільки живуть і хто їх видаляє. Включіть у це рішення резервні копії та особисті сервіси синхронізації, бо вони копіюють файл знову за власним розкладом. Пізніше відкликання доступу до VPN не поверне документ, який уже лежить у чиємусь хмарному диску.
Якщо робота має залишатися в керованому середовищі, віддалений робочий стіл зменшує потребу тримати файли локально. Але це не автоматична межа заборони копіювання. Документація Microsoft про властивості RDP описує переспрямування буфера обміну окремо від переспрямування дисків, тому перевіряйте чинні політики клієнта й служби у своєму розгортанні, а не припускайте, що сеанс робочого столу вимикає обидва канали.
Далі подивіться за межі очевидних каналів. Застосунки мають функції експорту, поштові клієнти мають кнопки вкладень, а камера телефона, спрямована на екран, — це спосіб передачі, який ніхто не закриє латкою. Блокування одного каналу — реальний контроль; називати це гарантією проти копіювання означає написати політику, яку неможливо дотримати.
Якщо дозволений робочий процес не може задовольнити вимогу щодо даних, відповідь — керований пристрій або інша схема доступу. Шифрування в тунелі не змінює того, що людина може зробити з тим, що бачить. Скажіть це в записі рішення, а не залишайте неявним. Інакше наступний рецензент схвалить той самий запит з тією самою прогалиною.
Зробіть стан пристрою умовою, а не сертифікатом
Визначте вимоги до кінцевої точки, які організація справді здатна оцінити й підтримати: обслуговувана операційна система, робочий захист, заходи безпеки облікового запису, підтримуваний клієнт доступу. Потім укажіть, що відбувається, коли пристрій перестає їх виконувати, бо це та половина політики, яку всі забувають написати.
- Результат стану описує умови, перевірені в ту мить, а не майбутню поведінку ноутбука.
- Авторизація застосунків і мережеві обмеження залишаються чинними й після допуску.
- Широкий доступ до офісу не випливає з одного завершеного сканування.
- Вимоги до моніторингу й керування потребують поінформованої згоди власника.
Політика, що залежить від контролів, які працівник не прийняв або які організація не може забезпечити, — це документ, а не межа. Скажіть це прямо й запропонуйте керовану альтернативу там, де прогалину не вдається закрити.
Вирішіть, хто закриває сеанс і дані
Перед схваленням назвіть особу, відповідальну за відкликання доступу, за дії з утраченим пристроєм і за будь-які матеріали компанії, збережені локально. Перевірте передбачувану роботу на звичайному обліковому записі й підтвердьте, що сторонні ресурси недоступні там, де проєкт каже, що їх не повинно бути.
Готове рішення читається як речення з чотирма місцями: що людина може використовувати, з якого придатного пристрою, через яку точку входу і з яким дозволом на локальні дані. Усе коротше — це так або ні поруч зі словами доступ до VPN, і воно залишає без відповіді найважливішу частину запиту.