Сотрудник покупает iPhone или iPad, настраивает на нём корпоративную почту и приходит с ним на работу. Никто его об этом не просил – он просто хочет работать на устройстве, которое ему нравится. Так выглядит BYOD (Bring Your Own Device): личная техника проникает в корпоративный периметр снизу, в обход ИТ-отдела. За последний год поток таких устройств вырос настолько, что игнорировать его больше нельзя ни коммерческой компании, ни ведомству.
Почему запрет не работает
Первая реакция службы безопасности – запретить. На бумаге это решает проблему, на практике загоняет её в тень. Сотрудник всё равно перекинет рабочий документ на свой планшет, потому что так удобнее редактировать в дороге. Облачные сервисы синхронизации только ускоряют утечку: достаточно вспомнить, как iCloud переносит файлы между устройствами без участия администратора. Данные расходятся по личным гаджетам, а ИТ-служба об этом даже не знает.
Запрет проигрывает ещё и экономически. Личные устройства сотрудник покупает и обслуживает сам, а работать на них готов в нерабочее время. Отказ от BYOD – это отказ от бесплатного роста производительности. Разумнее не воевать с тенденцией, а возглавить её: описать правила, под которыми личное устройство получает доступ к корпоративным ресурсам.
Где реальные риски
Главная угроза – не сам смартфон, а данные на нём. Устройство теряют, его крадут, сотрудник увольняется и уносит почту за три года. Поэтому политику BYOD строят вокруг трёх вопросов.
- Доступ. Что именно устройство видит: только почту и календарь или ещё файловые хранилища и внутренние системы. Чем меньше, тем спокойнее.
- Контроль. Можно ли удалённо стереть данные при потере. ActiveSync уже умеет требовать PIN-код и выполнять remote wipe – это минимальный барьер, который стоит включить сразу.
- Разделение. Где проходит граница между личным и корпоративным. Идеально, когда рабочие данные живут в отдельном защищённом контейнере, а личные фото сотрудника остаются его личными фото.
Отдельная история – разнородность парка. iOS, Android, BlackBerry, Symbian ведут себя по-разному, и политика, написанная под одну платформу, на другой не сработает. Здесь помогает та же дисциплина, что и в тестировании при agile-разработке: проверять поведение на каждой целевой платформе, а не надеяться, что «везде одинаково».
Что делать бизнесу и госсектору
Госсектор связан жёстче: персональные данные, требования регуляторов, аттестация рабочих мест. Это не повод отказываться от мобильности – это повод подойти к ней инженерно. Личное устройство допускают к ограниченному контуру, а чувствительные операции оставляют внутри защищённого периметра.
Технически выбор сводится к двум подходам. Первый – корпоративные приложения, которые сами шифруют данные и не дают вынести их за пределы контейнера. Второй – перенос рабочих процессов в браузер, чтобы на устройстве вообще ничего не оседало; именно так рассуждали авторы web-first-подхода Chromebook. Для многих сценариев второй путь оказывается и дешевле, и безопаснее.
На практике большинство компаний приходят к гибриду: лёгкие сценарии – через браузер, тяжёлые и офлайновые – через специально написанные мобильные приложения с политиками безопасности. Настройки по умолчанию такое не закрывают: контейнеры, политики безопасности и офлайновые сценарии приходится проектировать под конкретный парк устройств и требования регулятора.
Вывод
BYOD – это не выбор «разрешить или запретить», а вопрос «на каких условиях». Устройства сотрудников уже на работе. Выигрывает тот, кто заранее опишет правила доступа, контроля и разделения данных, а не тот, кто будет разбираться с этим после первой потерянной флешки с базой клиентов.
