BYOD 的 VPN 接入同样是一项数据留存决策
在 VPN 接入旁写一个可以或不可以，几乎解决不了真正的难题。请分别决定连接、资源使用和本地留存，然后再选择工作环境。
请求往往只有一句话：这个人能否用自己的笔记本电脑连 VPN？一句可以或不可以，几乎没有解决任何问题。这个问题里藏着三项彼此独立的许可，而它们失败的方式各不相同。把隧道当作简单部分，把数据决策当作需要有人负责的部分。
把请求拆成三项许可
先描述范围窄而有用的结果：阅读某一个文档集合、在指定应用中编辑记录，或管理某一台服务器。然后分别决定每一项许可。
| Permission | What it grants | What it does not settle |
|---|---|---|
| Connection | The user and device may enter through the approved access service | Which resources are reachable once inside |
| Resource use | That session may reach selected services, with the application account deciding the operations | Whether displayed content may be kept |
| Local retention | Company data may, or may not, be downloaded, synchronized or otherwise kept on the device | Anything about how the session itself is protected |
审核人可能需要对某个集合的读取权限，但不能访问通用文件共享，也无权同步整个部门文件夹。一条宽泛的子网路由表达不了这种差别，而只读的应用账号也挡不住一个人把屏幕上看到的内容留下来。
依据数据规则选择工作环境
如果确实需要经批准的本地副本，就要明确它们可以存放在哪里、如何保护、留存多久以及由谁清除。备份和个人同步服务也必须纳入这项决策，因为它们会按自己的时间表再复制一份文件。事后撤销 VPN 接入，并不能取回已经躺在别人云盘里的文档。
如果工作必须留在受管环境中，远程桌面可以减少把文件放在本地的需要。但它并不是自动的禁止复制边界。Microsoft 关于 RDP 属性参考 的文档把剪贴板重定向与驱动器重定向分开描述，所以应检查部署中实际生效的客户端与服务策略，而不要假定桌面会话会同时关闭这两条通道。
然后看看那些显而易见的通道之外。应用有导出功能，邮件客户端有添加附件按钮，而用手机摄像头对着屏幕拍摄，是谁也补不上的传输方式。封住一条通道是真实的控制；把它说成防止复制的保证，只会写出一条无法兑现的策略。
如果被允许的工作方式无法满足数据要求，答案就是受管设备或另一种接入安排。隧道里的加密不会改变一个人能用他看到的内容做什么。请在决策记录里写明这一点，而不是让它隐含。否则下一位审核人会带着同样的缺口批准同样的请求。
把设备状态当作条件，而不是证书
定义组织真正能够评估并支持的数据终端要求：持续维护的操作系统、正常工作的防护、账号保护措施、受支持的接入客户端。然后说明当设备不再满足这些要求时会发生什么，因为这一半策略人人都忘了写。
- 状态检查结果描述的是当时检查到的条件，而不是笔记本未来的行为。
- 准入之后，应用授权与网络限制依然有效。
- 一次扫描通过并不等于获得宽泛的办公访问权限。
- 监控与管理要求需要负责人知情后接受。
如果一项策略依赖员工并未接受的管控，或组织无法运维的管控，那它就是一份文档，而不是边界。请把这一点直说，并在缺口无法弥合之处提供受管替代方案。
决定由谁结束会话和数据
在批准之前，指明负责撤销接入、处理设备丢失以及负责任何本地留存公司资料的人。用一个普通账号测试预期工作，并确认在设计说明不该可达的地方，无关资源确实不可达。
最终决策读起来像一句带四个空位的句子：这个人可以使用什么、从哪台符合条件的设备、经由哪个入口、以及在本地数据上拥有什么许可。任何更短的说法都只是在 VPN 接入旁边写一个可以或不可以，并把请求中真正有后果的部分留在那里没有回答。