Сотрудники уже принесли свои устройства на работу. iPhone, iPad и аппараты на Android читают корпоративную почту, открывают документы и подключаются к Wi-Fi компании – независимо от того, разрешила это ИТ-служба или нет. Подход BYOD (Bring Your Own Device) перестал быть теорией: к концу 2012 года личные смартфоны проникли в сеть почти каждого крупного предприятия. Вопрос не в том, разрешать ли BYOD, а в том, как взять его под контроль до первой утечки.

Где именно возникает риск

Главная проблема – данные покидают периметр. Корпоративное письмо с приложением оседает в почтовом клиенте на устройстве, которое сотрудник теряет в такси или отдаёт ребёнку поиграть. Личный аппарат не управляется политиками домена, не получает обновлений по расписанию ИТ-службы и часто несёт на себе jailbreak или root-доступ, снимающий штатную защиту платформы.

Для госсектора и компаний, работающих с персональными данными, ставки выше. Федеральный закон № 152-ФЗ требует обеспечить защиту ПДн вне зависимости от того, на чьём устройстве они обрабатываются. Личный смартфон с базой клиентов в почтовом ящике – это обрабатывающий узел, который должен соответствовать требованиям регулятора. Без технических мер организация не докажет, что выполнила свои обязанности.

Добавьте сюда смешение личных и рабочих данных. Резервная копия iPhone уезжает в облако iCloud вместе с корпоративными вложениями – то же касается синхронизации Android с сервисами Google. Контроль над этими каналами у работодателя отсутствует по умолчанию.

Что реально работает

Запрет не работает – сотрудники обходят его и уносят данные в неконтролируемые приложения. Работает управление. Системы класса MDM (Mobile Device Management) позволяют задать политику паролей, включить шифрование, удалённо стереть данные при потере аппарата и отделить рабочий контейнер от личного. Сотрудник остаётся владельцем устройства, компания управляет только корпоративной частью.

Базовый набор мер, который стоит закрепить в политике:

  • Обязательный код доступа и шифрование хранилища на каждом устройстве с доступом к корпоративным ресурсам.
  • Удалённая блокировка и стирание корпоративного контейнера.
  • Контроль версий ОС: jailbreak и root отсекаются от сети автоматически.
  • Доступ к внутренним системам только через VPN или защищённый шлюз.

Эту инфраструктуру удобно разворачивать в облаке – сервер управления масштабируется под число устройств без закупки железа, а сам процесс переноса мы разбирали в материале о миграции в облако без простоя. Для организаций, выстраивающих электронный документооборот, мобильный доступ к системам ЭДО в госсекторе требует особого внимания: согласование документа со смартфона не должно превращаться в дыру в защите.

Платформа имеет значение

Сценарий BYOD редко однороден. В одной компании соседствуют iOS, Android и корпоративные ноутбуки – в том числе на новой платформе Windows 8 для предприятий с её ориентацией на сенсорный ввод и мобильность. Единая система управления должна охватывать весь парк, а не отдельные островки.

Привязка такой системы к конкретной инфраструктуре – от выбора MDM-платформы до интеграции с каталогом пользователей – это уже задача разработки мобильных решений под корпоративную среду, а не типовая поставка коробочного продукта.

Вывод

BYOD – это не тренд, который можно переждать. Личные устройства уже работают с вашими данными. Задача ИТ-службы – перевести стихийный процесс в управляемый: описать политику, развернуть систему управления и закрыть каналы утечки до того, как первый потерянный телефон станет инцидентом с участием регулятора.