Что такое политика BYOD (Bring Your Own Device)?

Политика BYOD - это набор руководящих принципов, определяющих, как сотрудники могут и не могут использовать личные устройства для работы, будь то в офисе или дома. Смартфоны являются наиболее распространенным предметом BYOD, но политика может также позволять сотрудникам использовать планшеты, ноутбуки и ПК.

Основными причинами, по которым компании выбирают BYOD, являются:

• Повышение удовлетворенности сотрудников.
• Снижение затрат на оборудование и программное обеспечение.
• Более быстрое внедрение благодаря знакомым устройствам и платформам.
• Ускоренные процессы адаптации.

Вместо того чтобы требовать и предоставлять конкретное оборудование или технологии, компания позволяет сотрудникам использовать те платформы и устройства, которые они предпочитают. При этом ИТ-отдел контролирует работу:

• Руководством по использованию устройств для выполнения рабочих задач.
• Инструкции о том, какие приложения сотрудники могут и не могут использовать для работы.
• Четкое информирование об обязанностях работодателя и пользователей.
• Политики безопасности (шифрование данных, надежные пароли, отраслевые правила и т.д.).
• Инструкции по использованию и доступу к корпоративным приложениям и данным вне офиса.

Независимо от того, есть ли в компании политика BYOD или нет, реальность такова, что сотрудники в какой-то момент подключатся к корпоративной сети с помощью личного устройства. Чтобы снизить этот риск безопасности, каждая организация должна либо запретить использование личных устройств для выполнения рабочих задач, либо разработать политику BYOD.

Каковы преимущества BYOD?

Ниже перечислены основные причины, по которым компании решают пойти по пути BYOD и разрешить сотрудникам работать с личных устройств.

Повышение продуктивности сотрудников

С точки зрения сотрудников, BYOD означает использование привычных устройств и приложений. Свобода выбора оборудования и платформ для работы делает команды более продуктивными и ускоряет выполнение проектов. Другими факторами, повышающими производительность команд с BYOD, являются:

• Более быстрое время реагирования на проблемы и коммуникации.
• Члены команды доступны в течение большей части дня.
• Сотрудники с большей вероятностью решат техническую проблему на личном устройстве, чем на стандартном, предоставленном компанией.
• Новички могут влиться в коллектив и начать вносить свой вклад быстрее, чем обычно.

BYOD отлично подходит для команд, которые работают удаленно. Личные устройства обеспечивают возможность выполнения работы в любом месте и в любое время, поэтому компании, работающие удаленно, получают наибольшую выгоду от BYOD.

Финансовая экономия

BYOD создает несколько возможностей для экономии средств, снижая расходы на:

• Аппаратное обеспечение.
• Обслуживание устройств.
• Техническая поддержка.
• Лицензирование программного обеспечения.

По оценкам Cisco, полагаясь на BYOD, компании могут сэкономить 350 долларов на сотрудника в год. Эта возможность делает BYOD естественным выбором для малого и среднего бизнеса.

Идти в ногу с новейшими технологиями

Люди обновляют устройства и используют новые платформы гораздо быстрее, чем средний бизнес. Организация может использовать BYOD для использования преимуществ новейших инструментов и функций без необходимости обновления оборудования в масштабах всей компании.
Более высокие показатели удержания персонала

Эпоха, когда ИТ-компании предписывали конкретное оборудование, ОС и технологии, постепенно заканчивается. Сотрудники теперь хотят большей автономии и ответственности за свои технологии. Сегодняшние сотрудники требуют:

• Гибкость: Современные сотрудники хотят работать в любое время и без ограничений по времени.
• Мобильность: От "работы из дома" до "работы на ходу" - сотрудники хотят иметь возможность работать там, где им удобно.
• Разнообразие: Большинство работников предпочитают иметь выбор между различными типами устройств.

BYOD позволяет компании предложить своим сотрудникам все три желаемых фактора. Свобода, которую вы предоставляете коллективу, ведет к повышению уровня удержания, поскольку талантливые сотрудники будут рады остаться на своем месте и пользоваться преимуществами BYOD.

Более быстрая реакция на кибератаки

Если устройство становится точкой входа для кибератаки, сотрудник с большей вероятностью заметит неладное на личном устройстве, чем на корпоративном.

Своевременное обнаружение дает команде безопасности больше времени для реагирования и изоляции угрозы, что повышает шансы вовремя остановить атаку. Быстрое реагирование особенно важно при атаках вымогательского ПО.

Какие проблемы возникают при BYOD?

Хотя BYOD предлагает множество преимуществ, разрешение сотрудникам работать с личных устройств также создает некоторые уникальные проблемы. Наиболее заметными недостатками BYOD являются:

• Сотрудники оплачивают стоимость оборудования. Хотя у некоторых сотрудников уже есть высококлассные устройства, не у всех есть новейшие технологии или желание приобрести высококлассное оборудование.
• Настаивать на том, чтобы сотрудники вкладывали деньги в оборудование, - не лучший ход в бизнесе, поэтому большинство компаний, поддерживающих BYOD, также держат некоторые устройства в резерве.
• Цена ремонта - распространенная проблема BYOD. Компания должна оценить, является ли лучшим подходом ожидание того, что сотрудники будут покрывать эти расходы.
• Если сотрудники используют различные устройства с разными ОС и возможностями, команды могут столкнуться с несоответствиями.
• Наложение корпоративных и личных данных может быть проблематичным. Например, сотрудник может сохранять конфиденциальные данные на личном диске или отправлять корпоративные файлы на личную электронную почту.
• BYOD может ограничить свободу использования некоторых аспектов устройства.
• Обязательство соблюдать такие директивы, как HIPAA, PCI и GDPR, не исчезает только потому, что данные находятся на личном устройстве.

Наконец, самым большим недостатком BYOD является безопасность. BYOD предоставляет доступ к бизнес-приложениям и ресурсам на неуправляемых устройствах, что создает много возможностей для потенциальных утечек данных.

Каковы риски BYOD и что нужно учитывать с точки зрения безопасности?

Предоставление сотрудникам свободы выбора устройств и платформ создает широкую поверхность для атак. Основными проблемами безопасности BYOD являются:

• Команда безопасности должна контролировать использование и защищать различные типы устройств.
• Сотрудники могут получить доступ к корпоративным системам и данным через домашние сети и публичные Wi-Fis, которые не так надежны, как безопасность корпоративной сети.
• Личные устройства, как правило, не имеют такого же уровня безопасности, как корпоративные устройства.
• Сотрудники обычно менее осторожны при установке приложений на личные устройства.
• Работники чаще теряют личные устройства, чем корпоративные.
• Отсутствие надежных паролей и кодов - распространенная проблема индивидуальных пользователей.
• Больше возможностей для намеренной потери данных по инициативе пользователя в рамках инсайдерской угрозы.
• Более высокая вероятность устаревших ОС и приложений.
• Дополнительная уязвимость приложений и данных из-за совместного использования устройств на бытовом уровне.

Когда компания использует правильное сочетание мер предосторожности, BYOD не представляет более серьезной угрозы, чем корпоративные устройства, которые сотрудники используют на месте. Однако для достижения такого уровня безопасности компании необходима надежная политика BYOD, которая снижает все риски.

Что должна включать в себя политика BYOD?

Прежде чем приступить к созданию политики BYOD, сначала необходимо проконсультироваться с сотрудниками. Убедитесь, что сотрудники согласны с предстоящими изменениями, и продвигайтесь вперед только в том случае, если:

• У сотрудников есть высококачественные устройства, которые лучше тех, которые вы можете предоставить.
• Большинство работников с энтузиазмом относятся к идее BYOD.

Работники должны знать, что влечет за собой BYOD, особенно с точки зрения затрат и безопасности. Сотрудники также должны знать, что BYOD будет в определенной форме контролировать их смартфоны, планшеты и ноутбуки.

Если вы и ваши сотрудники согласны с переходом на BYOD, вы готовы начать работу над политикой. Ниже приведен список всего, что необходимо охватить, чтобы составить хорошо продуманное руководство по BYOD.

Список разрешенных типов устройств

Политика BYOD должна точно определять, какие устройства и ОС могут использовать сотрудники в рамках BYOD. Например, некоторые компании могут разрешить iPad в рабочей среде, но запретить все другие планшеты из-за некоторых соображений безопасности.

Некоторые компании решают ограничить устройства исключительно по маркам и ОС, но более осторожный подход заключается в детализации списка вплоть до моделей и версий. В любом случае, ваш ИТ-отдел должен установить и настроить каждое устройство, прежде чем сотрудники начнут получать доступ к рабочим данным.

Список разрешенных и запрещенных приложений

Этот список должен распространяться на любое устройство, подключаемое к вашей сети, будь то корпоративное или личное. К основным аспектам относятся:

• Приложения для электронной почты.
• Программное обеспечение для удаленного доступа.
• Инструменты текстового процессора.
• Календари.
• Приложения для повышения производительности.
• Все инструменты, связанные с работой.

Цель этого списка - определить, что пользователи могут загружать и использовать на устройствах BYOD. Поскольку вы ограничиваете личные устройства, более разумной стратегией для обеспечения соблюдения правил является подход "черного списка".

Надежная политика безопасности

Политика безопасности определяет протоколы, которым должен следовать сотрудник при использовании BYOD-устройства. Эта политика жизненно важна для вашей кибербезопасности и должна обеспечивать ее соблюдение:

• Длинные буквенно-цифровые пароли, которые сотрудники регулярно меняют.
• Многофакторная аутентификация, поддерживаемая системой безопасности с нулевым доверием.
• Защита конечных точек, антивирусное и вредоносное программное обеспечение.
• Блокирование загрузки приложений и программного обеспечения из неавторизованных источников.
• Проверка наличия последних драйверов и исправлений для предотвращения устаревания приложений и ОС.

Проконсультируйтесь со своей командой безопасности, чтобы узнать, какие политики и программное обеспечение можно надежно внедрить. Для обеспечения дополнительной безопасности вы также можете:

• Предотвратить возможность копирования и вставки между рабочими и личными приложениями.
• Настроить самоблокировку устройства после нескольких минут простоя.
• Обеспечить блокировку устройства после нескольких неудачных попыток разблокировки.
• Предоставьте команде безопасности возможность удаленно отключать устройства в любое время.
• Установите надежный мониторинг, включающий запись времени событий, IP-адресов источников, неудачной и успешной аутентификации, а также запросов ресурсов.
• Законодательно обяжите сотрудников сообщать обо всех потерянных или украденных устройствах в течение 24 часов.

Имейте в виду, что большинство сотрудников сопротивляются использованию длинных паролей или экранов блокировки на личных устройствах. Однако здесь нет места для компромисса, поскольку устройство BYOD имеет прямой доступ к конфиденциальным данным. Простой системы разблокировки "провел пальцем и ушел" недостаточно для обеспечения безопасности компании.

Четкая политика обслуживания

Политика BYOD должна определять, что произойдет, если у персонального устройства возникнут проблемы с оборудованием или программным обеспечением. Вам необходимо указать:

• Уровень поддержки при физических повреждениях.
• Контактное лицо по вопросам ОС и аппаратного обеспечения (производитель, местный оператор связи или внутренняя ИТ-команда - это три стандартных варианта).
• Компенсирует ли компания сотруднику процент от стоимости устройства или участвует в покупке нового оборудования.
• Дополнительные расходы, которые компания будет или не будет компенсировать, например, роуминг или перерасход данных.

Вы также должны решить, будет ли компания предоставлять устройства во временное пользование, пока личное устройство находится в нерабочем состоянии. У некоторых сотрудников нет резервных устройств, поэтому наличие резервного оборудования гарантирует, что работа не замедлится в случае технических проблем.

Правила стирания устройств

Если сотрудник теряет устройство с доступом к корпоративным данным, ваша политика BYOD должна утверждать право на удаленное стирание устройства. Эта процедура - единственный способ обеспечить безопасность вашего бизнеса в случае потери или кражи устройства.

На мобильных и портативных компьютерах обычно хранятся личные данные, такие как музыка или фотографии, поэтому убедитесь, что сотрудники знают, как создавать резервные копии личного контента, прежде чем начать работать с BYOD-устройства. Всегда позволяйте работнику восстановить личную информацию, прежде чем стирать память устройства.

Политика приемлемого использования

Разрешение персональному устройству подключаться к корпоративной сети вызывает некоторые сомнения в том, какие действия являются приемлемыми, а какие нет. Некоторые действия, которые могут быть сомнительными, пока пользователь находится в корпоративной сети или VPN, следующие:

• Использование социальных сетей.
• Просмотр небезопасных веб-сайтов без SSL-сертификатов.
• Посещение страниц с контентом для взрослых.
• Передача незаконных материалов (непреднамеренно или нет).
• Действия личного характера, такие как отправка СМС, звонки, игры, чтение и т.д.

Проконсультируйтесь с сотрудниками службы безопасности и юридического отдела, чтобы создать политику приемлемого использования для пользователей BYOD.

Эффективная стратегия ухода сотрудников

Ваша политика должна включать стратегию увольнения сотрудника с BYOD-устройством. Определите, как вы будете обеспечивать удаление:

• Токены доступа.
• Доступ к электронной почте.
• Доступ к корпоративным данным.
• Собственные приложения.

Наиболее безопасной стратегией увольнения является обязательное полное удаление данных с BYOD-устройства. Как и в случае с потерей устройства, убедитесь, что у сотрудника есть возможность создать резервную копию личных данных до начала стирания.

Учебные материалы для сотрудников

Вам необходимо предоставить материалы и организовать тренинги для разъяснения политики вашего подхода BYOD. Кроме того, убедитесь, что сотрудники знают, чего вы ожидаете, и обучите их распознавать признаки:

• Фишинговые атаки.
• Различные типы выкупного ПО.
• Вредоносная реклама.
• Небезопасные веб-сайты.

Каждый пользователь BYOD должен знать надлежащие меры по предотвращению и реагированию на инциденты безопасности. Как только сотрудник завершит обучение, вам необходимо подписать соглашение, подтверждающее, что он понял политику и согласен ее соблюдать.

Для правильной компании BYOD является переломным моментом

BYOD - это отличный способ повысить гибкость и продуктивность сотрудников. Однако у этой практики есть уникальные проблемы, которые могут оттолкнуть некоторые команды от этой концепции. Однако, поскольку рынок BYOD достигнет 350 миллиардов долларов к 2022 году, все больше и больше компаний находят этот подход плодотворным.