BYOD (Bring Your Own Device) vísar til þeirrar stefnu sem gerir starfsmönnum kleift að nota sín eigin snjalltæki til að fá aðgang að netum/kerfum fyrirtækisins. Sumir starfsmenn kjósa að nota sín eigin snjalltæki sem stofnar fyrirtækinu í hættu vegna orðsporsskaða og málaferla.
Fyrirtæki þurfa að hafa formlega stefnu varðandi notkun persónulegra tækja í vinnunni.
Með því að koma með þitt eigið tæki (BYOD) er átt við þessa tegund stefnu – sem skilgreinir hvaða farsíma (ef einhverjir) starfsmenn geta notað til að fá aðgang að netum/kerfum fyrirtækisins.
Hvað ætti BYOD-stefna að ná yfir?
Fyrirtæki þurfa stefnu sem tilgreinir hvaða tæki mega eða mega ekki vera tengd netkerfi þeirra. Þau þurfa einnig verklagsreglur til að tryggja að ósamþykkt tæki geti aldrei verið tengd „óvart“. Að lokum verður að koma á viðeigandi aðferðum til að viðhalda öryggi persónuupplýsinga sem kunna að vera geymdar á farsímum.
Úttekt á núverandi tækjum og aðgangsréttindum
Fyrsta skrefið er að framkvæma úttekt á núverandi stöðu. Hvaða tæki nota netið og til hvers?
Hvað segir lögin?
Sem vinnuveitandi (sem er ábyrgðaraðili gagna) eru skyldur samkvæmt GDPR að grípa til viðeigandi tæknilegra og skipulagslegra ráðstafana gegn óheimilri eða ólögmætri vinnslu persónuupplýsinga og gegn óviljandi tapi, eyðileggingu eða tjóni á persónuupplýsingum.
Mikil hætta er á að trúnaðargögn fyrirtækja og viðskiptavina rata inn á persónuleg tæki – sem eru yfirleitt ekki mjög örugg og auðvelt er að týna þeim, koma þeim á villigötur eða stela þeim.
Hættan á mannorðstjóni
Ímyndaðu þér þetta atburðarás. Starfsmaður fær tölvupóst með viðhengi sem inniheldur póstlista yfir alla viðskiptavini og tengiliðaupplýsingar þeirra, sem hann opnar og vistar á farsímanum sínum. Ef tækið týnist gætu gögnin sem geymd eru á því ratað í almannaeigu, verið misnotuð eða seld samkeppnisaðilum. Það sem verra er er að Persónuvernd þarf að tilkynna um gagnatap, sem og hvern einstakling á þeim póstlista. Þetta getur valdið miklu mannorðstjóni sem og háum fjárhagslegum sektum.
Hvaða tæki eru ásættanleg?
Eftir að úttekt hefur verið framkvæmd er annað stigið að ákveða hvað á að taka með eða útiloka úr stefnu um eigin notkun (BYOD), og þetta er venjulega gert á tækjastigi.
- Fyrsta stigið – núll umburðarlyndi
- Þetta gæti verið fljótlegasta, auðveldasta og einfaldasta lausnin, en ekki endilega sú raunhæfasta eða hagnýtasta.
- Það getur einnig hindrað frekar en að hjálpa sumum starfsmönnum að framkvæma ákveðin verkefni, sem getur leitt til óánægju í starfi og lækkað starfsandann.
- Þannig að algjört bann gæti reynst gagnslaust.
- Það getur líka verið nokkuð erfitt (og þar af leiðandi dýrt) að hafa eftirlit með núll umburðarlyndi án sterkra netöryggisráðstafana.
- Stig tvö – samþykkt tæki
- Þetta gerir kleift að hafa ákveðinn lista yfir tæki, eða tæki með tilteknum stýrihugbúnaði (t.d. aðeins iOS tæki eða aðeins Android og Windows tæki).
- Aðferðin með samþykktum tækjum getur auðveldað stjórnun og aðgangsstýringu, en getur sett suma starfsmenn í óhagstæða stöðu ef tæki þeirra eru ekki tryggð. Það getur líka verið erfitt að stjórna því nýjar gerðir og ný tæki koma fram daglega.
- Þriðja stig – hvaða tæki sem er
- Þetta gerir kleift að „tengja“ hvaða tæki sem er.
- Þessi aðferð er algjörlega andstæð núll umburðarlyndi og gerir kleift að „tengja“ hvaða tæki sem er hvenær sem er. Kostirnir eru a) fyrir starfsmanninn sem er ekki takmarkaður af tækinu og b) fyrir fyrirtækið sem þarf ekki að uppfæra lista yfir samþykkt tæki stöðugt.
Hins vegar þarf að nota öflug eftirlit eins og stjórnkerfi fyrir farsíma með þessari tegund aðferða.
Annar valkostur!
Í vaxandi mæli hafa sum fyrirtæki ákveðið að hætta að nota eigin tæki (BYOD) og innleiða núll umburðarlyndi í stað þess að útvega starfsmönnum sínum tæki.
Hvaða umsóknir eru ásættanlegar?
Fyrirtækið gæti viljað takmarka aðgang að ákveðnum forritum – oftast aðeins tölvupósti og aðgangi að internetinu. Forðast ætti fullan aðgang að netum og forritum ef mögulegt er, nema úr tölvum eða fartölvum og þá aðeins í gegnum traust net eða örugg fjaraðgangsverkfæri.
Viðskiptanotkun á móti einkanotkun
BYOD-tæki í eigu starfsmanns eru líkleg til að vera notuð bæði í viðskipta- og einkatilgangi.
Annars vegar þarf starfsmaðurinn að vera viss um að fyrirtækið muni ekki fá aðgang að persónulegu efni sem geymt er á tækinu eða nota eftirlitsverkfæri tækisins, en hins vegar vill fyrirtækið vernda trúnaðarupplýsingar fyrirtækisins og viðskiptavina sem kunna einnig að vera geymdar (eða sýnilegar) á tækinu.
Vinnuveitendur þurfa einnig að vera meðvitaðir um að tæki geta verið notuð (í einkatilgangi) ekki aðeins af starfsmanni sjálfum heldur einnig af öðrum fjölskyldumeðlimum.
Þráðlaust öryggi
Auðveldasta og fljótlegasta leiðin til að tengja tæki við net er að starfsmenn noti tæki sín til að skrá sig inn á netið, þráðlaust. Sum fyrirtæki birta starfsmönnum þráðlausa lykilinn sinn án þess að gera sér grein fyrir því að þeir eru að nota lykilinn í öllum tækjum, þar á meðal persónulegum tækjum.
Algeng aðferð til að tryggja öryggi tækja er að gera þráðlausa lykilinn mjög sterkan (þ.e. erfitt að muna hann) og aðeins að hann sé sleginn inn í tækið af starfsmanni upplýsingatækniteymisins eða öðrum tilnefndum einstaklingi. Þannig er hægt að viðhalda stjórn á tækjastigi tiltölulega auðveldlega. Hins vegar getur þessi aðferð verið mjög tímafrek, allt eftir stærð eða flækjustigi stofnunarinnar.
Öflugri aðferðir munu nota netbúnað til að búa til aðgangsstýringarlista fyrir tiltekin tæki sem fyrst verða að vera skráð og þar með samþykkt af fyrirtækinu áður en þau geta tengst. Kostir þessarar aðferðar leyfa endurskoðun og tímabeltisstýringar, svo sem að takmarka þráðlausan aðgang við skrifstofutíma.
Skráning tækis
Flestar nýjustu útgáfur af netstýrihugbúnaði (Windows og Mac) eru með innbyggð öryggistól sem hægt er að nota til að viðhalda lista yfir „samþykkt“ tæki.
Þetta er gert með skráningarferli á svipaðan hátt og skráning á netbúnaði, þar sem tækið er kynnt og skráð á netið.
Ef tæki týnist eða starfsmaður hættir störfum er hægt að loka fyrir/fjarlægja tækið af listanum yfir skráð tæki.
Þó að þessi aðferð sé gagnleg til að loka fyrir óæskilega gesti og stjórna aðgangi að netauðlindum, þá er ókosturinn skortur á stjórn þegar tengitæki týnist eða er stolið.
Stjórnun farsíma (MDM) / Stjórnun farsímaforrita (MAM)
Öflugri aðferð til að tryggja öryggi tækja er að nota MDM-þjónustu – þær geta annað hvort verið veittar sem hluti af rekstrarhugbúnaði netsins eða þriðji aðili getur veitt þessa þjónustu.
Það eru mismunandi stig af þessari tegund þjónustu, allt frá einfaldri skráningu og endurstillingu tækja, til sandkassaþjónustu fyrir persónuleg og fyrirtækjagögn, sem gerir aðeins kleift að eyða fyrirtækjagögnum aðskildum.
Starfsmenn þurfa að samþykkja hvaða stjórnunarkerfi fyrir snjalltæki er notað ef þeir vilja taka upp BYOD (Take Your Own Device) (þeirra eigin tæki).
Starfsmenn verða einnig að samþykkja/samþykkja ef MDM hugbúnaður er notaður til að fylgjast með tækinu, þeim athöfnum sem eru vöktuð og hvort landfræðileg staðsetning er notuð eða ekki.
Að lokum þurfa starfsmenn að skilja hvað verður um persónuupplýsingar þeirra sem geymdar eru á tækinu, ef gera þarf tækið óvirkt.
Þessi aðferð hefur alla þá kosti að vera auðveld í notkun, frá sjónarhóli notandans, en jafnframt mjög örugg frá sjónarhóli fyrirtækisins. Fyrirtækið getur einnig framkvæmt aðgerðir eins og að finna tæki ef þau týnast eða eru stolin, eða framkvæmt blokkun og eyðingu fjarlægs stigs.
Gagnadulkóðun
Stefna um að nota eigin tæki veitir ekki nægilega vernd. Öll trúnaðar-/persónuupplýsingar verða að vera dulkóðaðar. Að stilla skjal/töflureikni sem aðeins lesaðgang eða búa til lykilorð til að opna skjalið/töflureiknina er ekki það sama og að dulkóða gögnin.
Fyrirtæki verða að meta úr hvaða tækjum persónuupplýsingar eru fluttar og í hvaða tæki. Síðan þarf að framkvæma áhættumat á líkunum á að gögnin komist í almenningseign og nota viðeigandi dulkóðunaraðferðir til að vernda þessi trúnaðar-/persónuupplýsingar.
Önnur mál sem þarf að íhuga
- Lykilorðsvernd tækis – Hvert tæki sem notar eigin lykilorð verður að hafa ræsingarlykilorð/PIN-númer og ætti að læsast ef það er ekki virkt í tiltekinn fjölda mínútna, eða læsast ef rangt lykilorð/PIN-númer er slegið inn í ákveðinn fjölda tilrauna
- týnd tæki – sem hluti af stefnu um að nota tækið sitt sjálfur þarf starfsmaðurinn að vita við hvern hann á að hafa samband og hvað verður um tækið ef það týnist (þ.e. hvaða gögn gætu verið eytt úr tækinu)
- kostnaður – fyrirtækið kann að samþykkja eða hafna því að greiða fyrir ákveðin gjöld fyrir farsíma eða kostnað við að skipta út týndum/stolnum eða skemmdum tækjum þegar þau eru notuð í viðskiptalegum tilgangi
- Stefna um ásættanlega notkun – fyrirtækið vill tryggja að allar reglur um ásættanlega notkun eigi einnig við um tæki sem nota eigin tæki (BYOD)
- Tæki sem hafa verið rótuð/jailbreakuð ættu ekki að vera leyfð og ströng stefna ætti að vera í gildi um að tæki sem hafa verið sett upp fyrir BYOD séu síðan ekki rótuð/jailbreakuð
- geymslumiðlar – fyrirtækið gæti viljað tilgreina aðferðina varðandi minnis-/SD-kort, sérstaklega hvort þau séu dulkóðuð eða hvort hægt sé að geyma gögn á þeim
Innleiðing stefnu um að nota eigin tæki (BYOD)
Hægt er að móta BYOD sem sérstaka stefnu, bæta henni við núverandi stefnu um ásættanlega notkun eða bæta henni við núverandi stefnu um internetið og tölvupóst eða stefnu um samfélagsmiðla.
Fyrirtækjatæki falla sjálfkrafa undir gildissvið BYOD (Bring Your Own Device).
Starfsmönnum með sín eigin tæki ætti að vera gefinn kostur á að afþakka eða samþykkja stefnuna um að nota sín eigin tæki:
- afþakka - hafna skráningu í stefnuna um að nota eigin tæki – í því tilfelli mun starfsmaðurinn ekki geta notað nein persónuleg tæki í vinnunni
- samþykkja – Samþykkja að skrá sig fyrir stefnuna um að nota eigin tæki – í því tilfelli þarf tækið þeirra að vera skráð á netið og einnig, ef við á, hjá stjórnunarþjónustu fyrir farsíma.
Sjáðu samantekt okkar fyrir fjögur einföld skref til að skilgreina og innleiða stefnu um að nota eigin tæki (BYOD).
Yfirlit
Það er mikilvægt að vinnuveitandinn (sem er ábyrgðaraðili gagna) fylgi GDPR varðandi vinnslu persónuupplýsinga. Ef öryggisbrot verður verður vinnuveitandinn að geta sýnt fram á að allar persónuupplýsingar sem geymdar eru á tilteknu tæki séu öruggar, stjórnaðar eða eytt. Að hafa stefnu um að nota eigin tæki (BYOD) mun hjálpa til við að ná því markmiði.
Fjögur skref til að skilgreina og innleiða BYOD (Bring Your Own Device)
- Skref eitt – endurskoðun tækja og notkunar
-
- Hvaða tæki eru leyfð á netinu núna?
- Hvaða aðgangsréttindi hafa þeir?
- Hvaða forrit nota þau?
- Hvaða gögn ættu þeir að geyma?
- Skref tvö – stig BYOD
-
- engin tæki
- samþykktur listi
- öll/öll tæki
- skilgreina hvaða forrit eru aðgengileg snjalltækjum.
- Þriðja skrefið – Stefna um að taka með sér tæki (BYOD)
-
- Móta og skrifa stefnu um BYOD.
- Gera viðeigandi breytingar á öryggi netkerfisins og kaupa allar viðbótarþjónustur (eins og MDM)
- Ákveðið hvort þörf sé á frekari öryggisgæslu, svo sem dulkóðunartólum fyrir gögn
- Skilgreina og tilkynna dagsetningu fyrir framkvæmd stefnunnar
- Fjórða skrefið – framkvæmdardagsetning
-
- Fjarlægðu öll núverandi tæki og vertu viss um að þau geymi ekki gögn.
- Skrá samþykkt tæki
- Starfsmenn sem eiga slík tæki skrifa undir „BYOD“ (Bring Your Own Device) (þ.e. „Bring Your Own Device“).
