BYOD (использование личных устройств на рабочем месте) — это политика, согласно которой сотрудники могут использовать свои личные мобильные устройства для доступа к корпоративным сетям/системам. Некоторые сотрудники предпочитают использовать свои личные мобильные устройства, что подвергает организацию риску нанесения ущерба репутации и судебных разбирательств.
Компаниям необходимо иметь официальную политику в отношении использования личных устройств на рабочем месте.
Концепция «используй собственное устройство» (BYOD) подразумевает политику, определяющую, какие мобильные устройства (если таковые имеются) сотрудники могут использовать для доступа к корпоративным сетям/системам.
Что должна включать политика BYOD (использование личных устройств на рабочем месте)?
Компаниям необходима политика, определяющая, какие устройства могут быть подключены к их сети, а какие нет. Также потребуются процедуры, гарантирующие, что несанкционированные устройства никогда не будут подключены «случайно». Наконец, необходимо внедрить соответствующие механизмы для обеспечения безопасности персональных данных, которые могут храниться на мобильных устройствах.
Аудит существующих устройств и прав доступа
Первый шаг — провести аудит текущей ситуации. Какие устройства используют сеть и для чего?
Что гласит закон?
В соответствии с GDPR, работодатель (который является контроллером данных) обязан принимать соответствующие технические и организационные меры против несанкционированной или незаконной обработки персональных данных, а также против случайной потери, уничтожения или повреждения персональных данных.
Существует высокий риск того, что конфиденциальные корпоративные и клиентские данные могут попасть на личные устройства, которые, как правило, не очень защищены и могут быть легко потеряны, забыты или украдены.
Риски нанесения ущерба репутации
Представьте себе такую ситуацию. Сотрудник получает электронное письмо с вложением, содержащим список всех клиентов и их контактные данные. Он открывает это письмо и сохраняет его на своем мобильном устройстве. Если устройство пропадет, хранящиеся на нем данные могут попасть в открытый доступ, быть использованы не по назначению или проданы конкуренту. Хуже того, о потере данных необходимо будет уведомить Управление комиссара по информации, а также каждого человека из этого списка рассылки. Это может нанести серьезный репутационный ущерб, а также повлечь за собой крупные финансовые потери.
Какие устройства допустимы?
После проведения аудита на втором этапе определяется, что следует включить или исключить из политики BYOD, и обычно это делается на уровне устройств.
- Первый уровень – нулевая терпимость
- Это может быть самым быстрым, простым и легким решением, но не обязательно самым прагматичным или практичным.
- Это также может скорее препятствовать, чем помогать некоторым сотрудникам в выполнении определенных задач, что может привести к неудовлетворенности работой и снижению морального духа.
- Таким образом, полный запрет может оказаться контрпродуктивным.
- Кроме того, контролировать и обеспечивать соблюдение политики нулевой терпимости без надежных мер сетевой безопасности может быть довольно сложно (и, следовательно, дорого).
- Устройства, одобренные на втором уровне
- Это позволяет задать определенный список устройств или устройств с конкретной операционной системой (например, только устройства iOS или только устройства Android и Windows).
- Использование утвержденных устройств может упростить управление доступом, но может поставить некоторых сотрудников в невыгодное положение, если их устройство не подпадает под действие программы. Кроме того, управлять этим процессом может быть сложно, поскольку новые модели и устройства появляются ежедневно.
- Третий уровень – любое устройство
- Это позволяет «подключить» любое устройство.
- Этот подход полностью противоположен принципу нулевой терпимости и позволяет подключать любое устройство в любое время. Преимущества заключаются в следующем: а) для сотрудника, который не ограничен использованием устройства, и б) для компании, которой не нужно постоянно обновлять список разрешенных устройств.
Однако при таком подходе необходимо применять строгие меры контроля, такие как системы управления мобильными устройствами.
Альтернативный вариант!
Всё чаще некоторые компании отказываются от концепции BYOD (использование личных устройств на рабочем месте) и политики нулевой терпимости, предпочитая предоставлять сотрудникам собственные устройства.
Какие приложения принимаются?
Компания может ограничить доступ к определенным приложениям – чаще всего только к электронной почте и интернету. Полноценный доступ к сетям и приложениям следует по возможности избегать, за исключением ПК или ноутбуков, и только через доверенные сети или защищенные инструменты удаленного доступа.
коммерческое или частное использование
Устройства BYOD, принадлежащие сотруднику, скорее всего, будут использоваться как в деловых, так и в личных целях.
С одной стороны, сотрудник должен быть уверен, что компания не получит доступ к личным данным, хранящимся на устройстве, или не будет использовать инструменты мониторинга устройства, а с другой стороны, компания захочет защитить конфиденциальную информацию о компании и клиентах, которая также может храниться (или быть видимой) на устройстве.
Работодателям также необходимо учитывать, что устройства могут использоваться (в личных целях) не только самим сотрудником, но и другими членами его семьи.
Беспроводная безопасность
Самый простой и быстрый способ подключения устройств к сети — это беспроводной вход сотрудников в сеть с помощью своих устройств. Некоторые компании публикуют свои беспроводные ключи доступа для сотрудников, не подозревая, что используют этот ключ на всех устройствах, включая личные.
Распространенный метод обеспечения безопасности устройств заключается в создании очень надежного (то есть труднозапоминаемого) беспроводного ключа, который вводится в устройство только сотрудником ИТ-поддержки или другим уполномоченным лицом. Таким образом, контроль на уровне устройства можно поддерживать относительно легко. Однако этот подход может быть очень трудоемким, в зависимости от размера или сложности организации.
Более надежные подходы будут использовать сетевое оборудование для создания списков контроля доступа для конкретных устройств, которые должны быть предварительно зарегистрированы и, следовательно, одобрены компанией, прежде чем они смогут подключиться. Преимущества этого метода заключаются в возможности проведения аудита и контроля часовых поясов, например, в ограничении беспроводного доступа только в рабочее время.
Регистрация устройства
В большинстве современных версий сетевых операционных систем (Windows и Mac) встроены инструменты безопасности, которые можно использовать для ведения списка «разрешенных» устройств.
Это осуществляется посредством процесса регистрации, во многом аналогичного регистрации сетевого оборудования, в результате которого устройство представляется и регистрируется в сети.
Если устройство потеряно или сотрудник уволился, устройство может быть заблокировано/удалено из списка зарегистрированных устройств.
Хотя такой подход полезен для блокировки нежелательных гостей и контроля доступа к сетевым ресурсам, его недостатком является отсутствие контроля в случае потери или кражи подключаемого устройства.
Управление мобильными устройствами (MDM) / Управление мобильными приложениями (MAM)
Более надежный подход к обеспечению безопасности устройств заключается в использовании сервисов MDM — они могут предоставляться либо как часть сетевого программного обеспечения, либо этой услугой может заниматься сторонний поставщик.
Существуют различные уровни этого типа услуг, от простой регистрации и сброса настроек устройства до изоляции личных и корпоративных данных, которая позволяет отдельно удалять только корпоративные данные.
Сотрудникам потребуется дать согласие на использование той или иной системы управления мобильными устройствами, которая будет применяться в данном случае, если они захотят использовать BYOD (принеси своё устройство).
Сотрудники также должны дать согласие на использование программного обеспечения MDM для мониторинга устройства, на отслеживаемые действия и на использование или неиспользование геолокации.
Наконец, сотрудникам необходимо понимать, что произойдет с их личными данными, хранящимися на устройстве, в случае его отключения.
Этот метод обладает всеми преимуществами простоты использования с точки зрения конечного пользователя, одновременно обеспечивая высокую безопасность с точки зрения бизнеса. Компания также может выполнять такие операции, как определение местоположения устройств в случае их утери или кражи, а также удаленную блокировку и стирание данных.
Шифрование данных
Сама по себе политика BYOD не обеспечивает достаточной защиты. Все конфиденциальные/личные данные должны быть зашифрованы. Простое установление доступа к документу/таблице только для чтения или создание пароля для открытия документа/таблицы не равнозначно шифрованию данных.
Компании должны оценить, с каких устройств и на какие устройства передаются персональные данные. Затем провести оценку рисков попадания данных в открытый доступ и использовать соответствующие методы шифрования для защиты этих конфиденциальных/персональных данных.
Другие вопросы, которые следует рассмотреть
- Защита устройства паролем – Каждое устройство BYOD должно иметь пароль/PIN-код для запуска и должно блокироваться, если неактивно в течение определенного количества минут, или блокироваться, если пароль/PIN-код был введен неверно несколько раз
- Потерянные устройства – в рамках политики BYOD сотруднику необходимо знать, к кому обратиться и что произойдет с устройством в случае его потери (например, какие данные могут быть удалены с устройства)
- Стоимость – компания может согласиться или не согласиться оплатить определенные расходы на использование мобильных устройств, а также стоимость замены утерянных/украденных или поврежденных устройств, используемых в деловых целях
- Политика допустимого использования – компания должна убедиться, что любая политика допустимого использования распространяется также на устройства BYOD
- Устройства, прошедшие рутирование/джейлбрейк, не должны допускаться, и должна действовать строгая политика, запрещающая последующее рутирование/джейлбрейк любых устройств, настроенных для BYOD
- Носители информации – компания может захотеть уточнить подход к картам памяти/SD-картам, в частности, являются ли они зашифрованными или можно ли на них хранить данные
Внедрение политики BYOD (использование личных устройств на рабочем месте)
BYOD может быть сформулирован как отдельная политика, добавлена к существующей политике допустимого использования или добавлена к существующей политике использования интернета и электронной почты или социальных сетей.
Корпоративные устройства по умолчанию будут подпадать под действие концепции BYOD (использование личных устройств на рабочем месте).
Сотрудникам, использующим собственные устройства, следует предоставить возможность отказаться от участия в политике BYOD или, наоборот, присоединиться к ней
- Отказ от участия — Отказ от регистрации в рамках политики BYOD (использование личных устройств на рабочем месте) — в этом случае сотрудник не сможет использовать личные устройства для работы
- Согласие на участие – Подтверждение согласия на использование политики BYOD – в этом случае устройство необходимо будет зарегистрировать в сети, а также, если применимо, в службе управления мобильными устройствами.
Ознакомьтесь с нашим кратким обзором, в котором описаны четыре простых шага по определению и внедрению политики BYOD (использование личных устройств на рабочем месте).
Краткое содержание
Важно, чтобы работодатель (который является контроллером данных) соблюдал GDPR в отношении обработки персональных данных. В случае нарушения безопасности работодатель должен быть в состоянии продемонстрировать, что все персональные данные, хранящиеся на конкретном устройстве, защищены, контролируются или удалены. Наличие политики BYOD (использование личных устройств на рабочем месте) в значительной степени будет способствовать достижению этой цели.
Четыре шага к определению и внедрению концепции BYOD (использование личных устройств на рабочем месте)
- Шаг первый – аудит устройств и их использования
-
- Какие устройства в настоящее время разрешены к подключению к сети?
- Какие права доступа они имеют?
- Какие приложения они используют?
- Какие данные они должны хранить?
- Шаг второй – уровень BYOD (использование личных устройств на рабочем месте)
-
- нет устройств
- утвержденный список
- все/любые устройства
- Определить, какие приложения доступны на мобильных устройствах.
- Шаг третий – Политика BYOD
-
- Сформулируйте и опишите политику использования личных устройств на рабочем месте (BYOD).
- Внесите соответствующие изменения в систему безопасности сетевой инфраструктуры и приобретите необходимые дополнительные услуги (например, MDM)
- Определите, требуется ли дополнительная защита, например, инструменты шифрования данных
- Определить и сообщить дату внедрения данной политики
- Четвертый шаг – дата внедрения
-
- Удалите все имеющиеся устройства и убедитесь, что на них не хранятся данные.
- Зарегистрируйте утвержденные устройства
- Сотрудники, владеющие такими устройствами, подписывают соглашение BYOD (использование личных устройств на рабочем месте).
