Truy cập VPN trong BYOD cũng là một quyết định về lưu giữ dữ liệu
Một chữ có hoặc không bên cạnh truy cập VPN để phần khó không có câu trả lời. Hãy quyết định riêng về kết nối, sử dụng tài nguyên và lưu giữ cục bộ, rồi chọn môi trường.
Yêu cầu đến dưới dạng một câu: người này có thể dùng VPN từ máy tính xách tay của mình không? Trả lời có hoặc không hầu như không giải quyết được gì. Ba quyền riêng biệt ẩn trong câu hỏi, và chúng thất bại theo những cách khác nhau. Hãy coi đường hầm là phần dễ và quyết định về dữ liệu là phần cần một người chịu trách nhiệm.
Chia yêu cầu thành ba quyền
Trước hết hãy mô tả kết quả hẹp và hữu ích: đọc một bộ sưu tập tài liệu, sửa bản ghi trong một ứng dụng được nêu tên, hoặc quản trị một máy chủ cụ thể. Sau đó quyết định từng quyền một.
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
Một người đánh giá có thể cần quyền đọc một bộ sưu tập mà không có quyền truy cập chia sẻ tệp chung và không có quyền đồng bộ toàn bộ thư mục của một phòng ban. Một tuyến mạng con rộng không thể diễn đạt điều đó, và một tài khoản ứng dụng chỉ đọc không ngăn được một người giữ lại thứ mà màn hình hiển thị cho họ.
Chọn môi trường làm việc từ quy tắc dữ liệu
Nếu bản sao cục bộ đã được phê duyệt thực sự cần thiết, hãy xác định chúng được ở đâu, được bảo vệ thế nào, tồn tại bao lâu và ai là người xóa chúng. Đưa cả bản sao lưu và dịch vụ đồng bộ cá nhân vào quyết định đó, vì chúng sao chép tệp lần nữa theo lịch riêng. Việc thu hồi quyền truy cập VPN sau này không lấy lại được một tài liệu đã nằm trong ổ đĩa đám mây của ai đó.
Nếu công việc phải ở trong một môi trường được quản lý, máy tính để bàn từ xa giảm nhu cầu đặt tệp cục bộ. Nhưng đó không phải là ranh giới cấm sao chép tự động. Tài liệu của Microsoft về thuộc tính RDP mô tả chuyển hướng clipboard tách biệt với chuyển hướng ổ đĩa, vì vậy hãy kiểm tra chính sách máy khách và dịch vụ thực tế trong triển khai của bạn thay vì giả định rằng một phiên máy tính để bàn vô hiệu hóa cả hai kênh.
Sau đó hãy nhìn xa hơn những kênh hiển nhiên. Ứng dụng có chức năng xuất, ứng dụng thư có nút đính kèm, và một camera điện thoại hướng vào màn hình là cách truyền mà không ai có thể vá được. Chặn một kênh là một biện pháp kiểm soát thực sự; gọi đó là bảo đảm chống sao chép chính là cách viết một chính sách không thể giữ.
Nếu quy trình được phép không đáp ứng được yêu cầu về dữ liệu, câu trả lời là một thiết bị được quản lý hoặc một cách bố trí truy cập khác. Mã hóa trong đường hầm không thay đổi điều một người có thể làm với thứ họ nhìn thấy. Hãy nói điều đó trong hồ sơ quyết định thay vì để ngầm hiểu. Nếu không, người đánh giá tiếp theo sẽ phê duyệt cùng yêu cầu đó với cùng lỗ hổng.
Biến trạng thái thiết bị thành điều kiện, không phải chứng chỉ
Xác định các yêu cầu điểm cuối mà tổ chức thực sự có thể đánh giá và hỗ trợ: hệ điều hành được duy trì, bảo vệ hoạt động, biện pháp bảo vệ tài khoản, máy khách truy cập được hỗ trợ. Sau đó nêu rõ điều gì xảy ra khi thiết bị không còn đáp ứng, vì đó là nửa còn lại của chính sách mà mọi người quên viết.
- Kết quả trạng thái mô tả các điều kiện được kiểm tra tại thời điểm đó, không phải hành vi tương lai của máy tính xách tay.
- Ủy quyền ứng dụng và các hạn chế mạng vẫn có hiệu lực sau khi được chấp nhận.
- Quyền truy cập văn phòng rộng không xuất phát từ một lần quét đã hoàn tất.
- Các yêu cầu giám sát và quản lý cần sự chấp nhận có hiểu biết của chủ sở hữu.
Một chính sách phụ thuộc vào những biện pháp mà nhân viên chưa chấp nhận hoặc tổ chức không thể vận hành là một tài liệu, không phải ranh giới. Hãy nói rõ điều đó và đưa ra lựa chọn thay thế được quản lý ở nơi không thể lấp khoảng trống.
Quyết định ai đóng phiên và dữ liệu
Trước khi phê duyệt, hãy nêu tên người chịu trách nhiệm thu hồi quyền truy cập, xử lý thiết bị bị mất và mọi tài liệu của công ty được lưu cục bộ. Kiểm tra công việc dự kiến bằng một tài khoản thông thường và xác nhận rằng các tài nguyên không liên quan không khả dụng ở nơi thiết kế nói rằng chúng không nên có.
Quyết định hoàn chỉnh đọc như một câu có bốn chỗ: người đó có thể dùng gì, từ thiết bị đủ điều kiện nào, qua điểm vào nào, với quyền dữ liệu cục bộ nào. Bất cứ điều gì ngắn hơn là một chữ có hoặc không bên cạnh từ truy cập VPN, và nó để phần quan trọng của yêu cầu không được trả lời.