Najpierw określ dozwolony sposób pracy
Pracownik chce wieczorem poprawić ofertę na domowym komputerze. Czy wolno mu pobrać plik, użyć prywatnej poczty lub zsynchronizować cały katalog? Brak jasnej odpowiedzi zwykle oznacza improwizację. Ustal osobno zasady dla sprzętu firmowego, urządzeń prywatnych i komputerów współdzielonych z domownikami.
BYOD oznacza używanie własnego urządzenia do celów służbowych. Nie musi obejmować wszystkich danych i aplikacji. Możesz dopuścić ograniczony dostęp do wybranej usługi, a dla dokumentów wymagających większej kontroli zapewnić urządzenie firmowe. Decyzja powinna wynikać z zadań i ryzyka, nie tylko z wygody logowania.
Ustal minimum techniczne i sposób kontroli
Określ wymagania: wspierany system, aktualizacje, blokada ekranu, odpowiednia ochrona urządzenia i silne uwierzytelnianie. Tam, gdzie urządzenie przechowuje dane firmowe, oceń szyfrowanie oraz możliwość odseparowania tych danych. Nie zakładaj, że deklaracja użytkownika zastępuje techniczne sprawdzenie wymagań.
Wyjaśnij, co firma może zobaczyć i zrobić na prywatnym sprzęcie. Zarządzanie całym urządzeniem, ochrona samej aplikacji i dostęp wyłącznie przez przeglądarkę to różne modele. Każdy ma ograniczenia; sama osobna przeglądarka lub profil nie tworzą pełnej izolacji od zainfekowanego systemu.
Zaprojektuj drogę dokumentu
Prześledź jeden plik od otwarcia do wysłania klientowi. Ustal miejsce zapisu, zasady udostępniania i kopię. Jeśli dokument trafia do prywatnej chmury, komunikatora lub katalogu dostępnego dla rodziny, organizacja traci kontrolę nad jego dalszym obiegiem. Zapewnij wygodną, zatwierdzoną alternatywę.
Ograniczenia pobierania w wybranych usługach mogą pomóc, lecz nie są obietnicą, że informacji nie da się sfotografować lub przepisać. Dopasuj zakres udostępnianych danych do zadania. Przykładowo osoba poprawiająca jeden dokument nie potrzebuje lokalnej synchronizacji całego archiwum klientów.
Chroń połączenie i otoczenie
W domu zadbaj o aktualny router, zmienione dane administracyjne i właściwe zabezpieczenie Wi-Fi. Poza biurem korzystaj z zatwierdzonego sposobu dostępu; nie wystawiaj zdalnego pulpitu bezpośrednio do internetu jako szybkiego obejścia. VPN może chronić wybrany kanał połączenia, lecz nie naprawia zainfekowanego komputera.
Zwróć uwagę na rzeczy prostsze od konfiguracji sieci: blokowanie ekranu podczas odejścia, widoczność dokumentów dla innych osób, rozmowy w miejscu publicznym i udostępnianie całego pulpitu na spotkaniu. Przed prezentacją zamknij prywatne okna i wybierz właściwą aplikację do pokazania.
Utrata sprzętu nie może być tematem tabu
Pracownik musi wiedzieć, jak zgłosić zgubienie prywatnego telefonu z firmową pocztą albo podejrzenie infekcji domowego komputera. Ustal kanał dostępny bez tego urządzenia. Zgłoszenie powinno obejmować używane usługi, lokalne dane i czas ostatniego bezpiecznego użycia, bez żądania ujawniania niepotrzebnych informacji prywatnych.
Przed dopuszczeniem BYOD uzgodnij zakres blokady i ewentualnego usuwania danych. Nie obiecuj selektywnego kasowania, jeśli wybrana platforma go nie obsługuje. W incydencie administrator ogranicza dostęp do usług, a osoba upoważniona decyduje o dalszych działaniach na podstawie rzeczywistych możliwości i ustaleń.
Zaplanuj wyjście i sprawdź użyteczność
Przy zakończeniu współpracy odbierz sesje, dostęp aplikacji i uprawnienia urządzenia zgodnie z wybranym modelem. Ustal sposób usunięcia danych firmowych oraz potwierdzenia wykonania. Samo wyłączenie konta nie usuwa dokumentów wcześniej zapisanych na prywatnym dysku.
Przetestuj procedurę na konkretnym zadaniu: przygotowaniu oferty, połączeniu na spotkanie i zgłoszeniu problemu. Jeśli bezpieczna ścieżka jest niewykonalna, popraw ją albo zmień model dostępu. Dobrze zaprojektowana praca zdalna daje pracownikowi jasną odpowiedź, co może zrobić, a firmie możliwość sprawdzenia, gdzie znajdują się jej informacje.
Źródła: NCSC — Bring your own device · NCSC New Zealand — Bring Your Own Device · Australian Cyber Security Centre — Remote working security