Ang BYOD ay tumutukoy sa patakaran kung saan maaaring gamitin ng mga empleyado ang kanilang sariling personal na mobile device upang ma-access ang mga network/system ng kumpanya. Mas gusto ng ilang empleyado na gamitin ang kanilang sariling personal na mobile device na naglalagay sa organisasyon sa panganib mula sa pinsala sa reputasyon at mga legal na paglilitis.
Kailangang magkaroon ng pormal na patakaran ang mga kompanya patungkol sa paggamit ng mga personal na aparato sa trabaho.
Ang "Bring Your Own Device" (BYOD) ay tumutukoy sa ganitong uri ng patakaran – na tumutukoy kung aling mga mobile device (kung mayroon man) ang maaaring gamitin ng mga empleyado upang ma-access ang mga network/system ng kumpanya.
Ano ang dapat saklawin ng isang patakaran sa BYOD?
Kailangan ng mga kumpanya ng isang patakaran na nagtatakda ng mga device na maaaring konektado o hindi sa network nito. Kakailanganin din nito ng mga pamamaraan upang matiyak na ang mga hindi aprubadong device ay hindi kailanman maaaring 'aksidenteng' konektado. Panghuli, dapat maglagay ng mga naaangkop na mekanismo upang mapanatili ang seguridad sa personal na data, na maaaring nakaimbak sa mga mobile device.
Pag-audit ng mga umiiral na device at mga karapatan sa pag-access
Ang unang hakbang ay ang magsagawa ng pagsusuri sa kasalukuyang sitwasyon. Aling mga device ang gumagamit ng network, at para saan?
Ano ang sinasabi ng batas?
Bilang employer (na siyang Data Controller) may mga obligasyon sa ilalim ng GDPR na gumawa ng mga naaangkop na teknikal at organisasyonal na hakbang laban sa hindi awtorisado o ilegal na pagproseso ng personal na data at laban sa aksidenteng pagkawala o pagkasira, o pinsala, sa personal na data.
May mataas na panganib na ang kumpidensyal na datos ng korporasyon at kliyente ay makapasok sa mga personal na device – na kadalasang hindi gaanong ligtas at madaling mawala, mailagay sa ibang lugar, o manakaw.
Mga panganib ng pagkasira ng reputasyon
Isipin ang sitwasyong ito. Isang empleyado ang nakatanggap ng email na may kalakip na mailing list ng lahat ng kliyente at ang kanilang mga detalye sa pakikipag-ugnayan, na kanilang bubuksan at ise-save sa kanilang mobile device. Kung mawawala ang device na iyon, ang data na nakaimbak dito ay maaaring mapunta sa pampublikong domain, o magamit nang mali, o ibenta sa isang kakumpitensya. Ang mas malala pa ay kailangang maabisuhan ang Information Commissioner's Office tungkol sa pagkawala ng data, gayundin ang bawat indibidwal sa mailing list na iyon. Maaari itong magdulot ng malaking pinsala sa reputasyon pati na rin ng malaking multa.
Aling mga aparato ang katanggap-tanggap?
Pagkatapos maisagawa ang isang audit, ang ikalawang yugto ay ang pagpapasya kung ano ang isasama o hindi isasama sa isang patakaran ng BYOD, at ito ay karaniwang ginagawa sa antas ng device.
- Antas uno – walang pagpaparaya
- Maaaring ito ang pinakamabilis, pinakamadali, at pinakasimpleng solusyon, ngunit maaaring hindi ito ang pinakapraktikal o pinaka-praktikal.
- Maaari rin itong magsilbing hadlang sa halip na makatulong sa ilang empleyado na maisagawa ang ilang partikular na gawain, na maaaring humantong sa kawalang-kasiyahan sa trabaho at pagbaba ng moral.
- Kaya, ang isang tahasang pagbabawal ay maaaring maging kontra-produktibo.
- Maaari rin itong maging medyo mahirap (at samakatuwid ay magastos) na kontrolin at ipatupad ang isang zero-tolerance na patakaran nang walang matibay na kontrol sa seguridad ng network.
- Antas dalawa – mga aprubadong aparato
- Pinapayagan nito ang isang hanay ng listahan ng mga device, o mga device na may partikular na operating software (hal. mga iOS device lamang o mga Android at Windows device lamang).
- Ang aprubadong pamamaraan ng device ay maaaring magpadali sa pamamahala at pagkontrol sa pag-access, ngunit maaaring mag-iwan ng disbentaha sa ilang empleyado kung ang kanilang device ay hindi sakop. Maaari rin itong maging mahirap pamahalaan, dahil araw-araw ay may mga bagong modelo at bagong device na lumalabas.
- Antas tatlo – anumang aparato
- Pinapayagan nito ang anumang aparato na "maisaksak".
- Ang pamamaraang ito ay lubos na kabaligtaran ng zero-tolerance at nagpapahintulot sa anumang device na "ikabit" anumang oras. Ang mga bentahe ay a) para sa empleyado na hindi nalilimitahan ng device, at b) para sa kumpanya, na hindi kailangang patuloy na mag-update ng listahan ng mga aprubadong device.
Gayunpaman, kailangang gamitin ang matitinding kontrol tulad ng mga sistema ng pamamahala ng mobile device sa ganitong uri ng pamamaraan.
Isang alternatibong opsyon!
Sa isang tumataas na trend, nagpasya ang ilang mga kumpanya na talikuran ang BYOD at magkaroon ng zero-tolerance policy, pabor sa pagbibigay ng mga device sa mga empleyado.
Aling mga aplikasyon ang katanggap-tanggap?
Maaaring naisin ng kompanya na limitahan ang pag-access sa ilang partikular na application – kadalasan sa email at internet access lamang. Dapat iwasan ang ganap na pag-access sa mga network at application hangga't maaari, maliban sa mga PC o laptop at sa pamamagitan lamang ng mga mapagkakatiwalaang network o mga secure na remote access tool.
Pangnegosyo laban sa pribadong paggamit
Ang mga BYOD device na pagmamay-ari ng isang empleyado ay malamang na gamitin para sa parehong layunin sa negosyo at pribado.
Sa isang banda, kailangang maging kumpiyansa ang empleyado na hindi ia-access ng kumpanya ang personal na materyal na nakaimbak sa device o gagamit ng mga tool sa pagsubaybay sa device, habang sa kabilang banda, gugustuhin ng kumpanya na protektahan ang kumpidensyal na impormasyon ng korporasyon at kliyente na maaari ring nakaimbak (o nakikita) sa device.
Kailangan ding malaman ng mga employer na ang mga aparato ay maaaring gamitin (para sa personal na layunin) hindi lamang ng empleyado, kundi pati na rin ng ibang miyembro ng pamilya.
Seguridad na walang kable
Ang pinakamadali at pinakamabilis na paraan para makakonekta ang mga device sa isang network ay ang paggamit ng mga empleyado ng kanilang device para mag-login sa isang network, nang wireless. Inilalathala ng ilang kumpanya ang kanilang wireless key sa mga empleyado nang hindi namamalayan na ginagamit nila ang key sa lahat ng device, kabilang ang mga personal na device.
Ang isang karaniwang paraan ng pagbibigay ng seguridad sa device ay ang pagpapatibay ng wireless key (ibig sabihin, mahirap tandaan), at mailalagay lamang sa device ng isang miyembro ng IT support team, o iba pang hinirang na indibidwal. Kaya naman, ang kontrol ay maaaring mapanatili sa antas ng device nang medyo madali. Gayunpaman, ang pamamaraang ito ay maaaring maging lubhang matagal, depende sa laki o kasalimuotan ng organisasyon.
Ang mas matatag na mga pamamaraan ay gagamit ng hardware ng network upang lumikha ng mga listahan ng kontrol sa pag-access laban sa mga partikular na device na dapat munang irehistro at samakatuwid ay aprubahan ng negosyo bago sila makakonekta. Ang mga bentahe ng pamamaraang ito ay nagbibigay-daan para sa pag-awdit at mga kontrol sa time zone tulad ng paghihigpit sa wireless access sa mga oras ng opisina.
Pagpaparehistro ng aparato
Karamihan sa mga kasalukuyang bersyon ng network operating software (Windows at Mac) ay may mga built-in na tool sa seguridad na maaaring gamitin upang mapanatili ang isang listahan ng mga "aprubadong" device.
Ginagawa ito sa pamamagitan ng proseso ng pagpaparehistro na halos kapareho ng paraan ng pagpaparehistro ng hardware ng network, kung saan ang device ay ipinapakita at nakarehistro sa network.
Kung ang isang device ay naiwala o ang isang empleyado ay umalis, ang device ay maaaring harangan/alisin mula sa listahan ng mga rehistradong device.
Bagama't kapaki-pakinabang ang pamamaraang ito sa pagharang sa mga hindi gustong bisita at pagkontrol sa access sa mga mapagkukunan ng network, ang disbentaha ay ang kawalan ng kontrol kapag nawala o nanakaw ang isang device na pangkonekta.
Pamamahala ng mobile device (MDM) / Pamamahala ng mga mobile application (MAM)
Ang isang mas matibay na paraan sa pagbibigay ng seguridad ng device ay ang paggamit ng mga serbisyo ng MDM – maaaring ibigay ang mga ito bilang bahagi ng software sa pagpapatakbo ng network, o maaaring ibigay ang serbisyong ito ng isang ikatlong partido.
Mayroong iba't ibang antas ng ganitong uri ng serbisyo mula sa simpleng mga serbisyo sa pagpaparehistro at pag-reset ng device, hanggang sa pag-sandbox ng personal at corporate data, na magpapahintulot lamang sa hiwalay na pagbura ng corporate data.
Kailangang sumang-ayon/pumayag ang mga empleyado sa alinmang mobile device management system na gagamitin kung gusto nilang gamitin ang BYOD.
Dapat ding sumang-ayon/pumayag ang mga empleyado kung gagamitin ang MDM software upang subaybayan ang device, ang mga aktibidad na minomonitor at kung gagamitin o hindi ang geo-location.
Panghuli, kailangang maunawaan ng mga empleyado kung ano ang mangyayari sa sarili nilang personal na data na nakaimbak sa device, kung sakaling kailanganing i-disable ang device.
Ang pamamaraang ito ay may lahat ng benepisyo ng pagiging madaling gamitin, mula sa pananaw ng end-user, habang lubos na ligtas mula sa pananaw ng negosyo. Maaari ring magsagawa ang negosyo ng mga operasyon tulad ng paghahanap ng mga device, kung sakaling mawala o manakaw ang mga ito, o magsagawa ng pag-block at pag-wipe nang malayuan.
Pag-encrypt ng datos
Ang isang patakaran ng BYOD mismo ay hindi nagbibigay ng sapat na mga pananggalang. Dapat naka-encrypt ang lahat ng kumpidensyal/personal na datos. Ang pagtatakda lamang ng isang dokumento/spreadsheet bilang read-only, o paglikha ng password upang mabuksan ang dokumento/spreadsheet ay hindi katulad ng pag-encrypt ng datos.
Dapat suriin ng mga kumpanya kung anong personal na data ang nagmumula at patungo sa kung aling mga device ang inililipat. Pagkatapos, magsagawa ng pagtatasa ng panganib sa posibilidad na makapasok ang data sa pampublikong domain, at pagkatapos ay gumamit ng mga naaangkop na paraan ng pag-encrypt upang protektahan ang kumpidensyal/personal na data na iyon.
Iba pang mga isyu na dapat isaalang-alang
- proteksyon ng password ng device – Ang bawat BYOD device ay dapat mayroong start-up password/pin at dapat mag-lock kung hindi aktibo sa loob ng isang tinukoy na bilang ng mga minuto, o mag-lock kung maling password/pin ang naipasok sa loob ng maraming pagtatangka
- mga nawawalang device – bilang bahagi ng patakaran ng BYOD, kailangang malaman ng empleyado kung sino ang kokontakin at kung ano ang mangyayari sa device kung ito ay mawala (ibig sabihin, kung anong data ang maaaring mabura mula sa device)
- gastos – maaaring sumang-ayon o hindi sumang-ayon ang kompanya na bayaran ang ilang singil sa mobile device o ang gastos sa pagpapalit ng nawala/nanakaw o sirang device kapag ginamit para sa mga layuning pangnegosyo
- patakaran sa katanggap-tanggap na paggamit – gugustuhin ng kompanya na tiyakin na ang anumang patakaran sa katanggap-tanggap na paggamit ay nalalapat din sa mga aparatong BYOD
- Hindi dapat pahintulutan ang mga device na na-root/jail-broken at dapat magpatupad ng mahigpit na patakaran na ang anumang device setup para sa BYOD ay hindi na kasunod na na-root/jailbreak
- storage media – maaaring gusto ng kompanya na tukuyin ang pamamaraan patungkol sa mga memory/SD card, partikular na kung naka-encrypt ang mga ito o kung maaaring iimbak ang data dito
Pagpapatupad ng patakaran ng BYOD
Ang BYOD ay maaaring buuin bilang isang hiwalay na patakaran, idagdag sa isang umiiral na patakaran sa katanggap-tanggap na paggamit, o idagdag sa isang umiiral na patakaran sa internet at email o patakaran sa social media.
Ang mga device ng kumpanya, bilang default, ay mapapasailalim sa saklaw ng BYOD.
Ang mga empleyadong may sariling personal na device ay dapat bigyan ng pagkakataong mag-opt-out o mag-opt-in sa patakaran ng BYOD:-
- pag-opt-out - Tumanggi na mag-sign up para sa patakaran ng BYOD – kung saan ang empleyado ay hindi makakagamit ng anumang personal na device para sa trabaho
- pag-opt-in – Sumang-ayon na mag-sign up para sa patakaran ng BYOD – kung saan ang kanilang device ay kailangang nakarehistro sa network at gayundin, kung naaangkop, sa isang serbisyo sa pamamahala ng mobile device.
Tingnan ang aming buod para sa apat na madadaling hakbang sa pagtukoy at pagpapatupad ng isang patakaran ng BYOD.
Buod
Mahalaga na ang employer (na siyang Data Controller) ay manatiling sumusunod sa GDPR patungkol sa pagproseso ng personal na data. Kung sakaling magkaroon ng paglabag sa seguridad, dapat maipakita ng employer na ang lahat ng personal na data na nakaimbak sa isang partikular na device ay ligtas, kontrolado, o binubura. Ang pagkakaroon ng patakaran sa BYOD ay makakatulong nang malaki sa pagkamit ng layuning iyon.
Apat na hakbang sa pagtukoy at pagpapatupad ng isang BYOD
- Hakbang isa – mga aparato sa pag-audit at paggamit
-
- Anong mga device ang kasalukuyang pinapayagang gamitin sa network?
- Ano ang mga karapatan nila sa pag-access?
- Anong mga aplikasyon ang ginagamit nila?
- Anong datos ang dapat nilang iimbak?
- Hakbang dalawa – antas ng BYOD
-
- walang mga aparato
- listahang inaprubahan
- lahat/anumang device
- tukuyin kung aling mga application ang maaaring ma-access ng mga mobile device.
- Hakbang tatlo – Patakaran ng BYOD
-
- Bumuo at sumulat ng patakaran ng BYOD.
- Gumawa ng mga naaangkop na pagbabago sa seguridad ng imprastraktura ng network at kumuha ng anumang karagdagang serbisyo (tulad ng MDM)
- Magpasya kung kinakailangan ang karagdagang seguridad, tulad ng mga tool sa pag-encrypt ng data
- Tukuyin at ipaalam ang petsa para sa pagpapatupad ng patakaran
- Hakbang apat – petsa ng pagpapatupad
-
- Alisin ang lahat ng kasalukuyang device at tiyaking wala itong data.
- Magrehistro ng mga aprubadong device
- Ang mga empleyadong nagmamay-ari ng mga naturang aparato ay pumirma ng BYOD.
