Безопасность и BYOD: искусство компромисса
Пока мобильным доступом к бизнес-приложениям россияне пользуются неактивно, однако есть устойчивый рост спроса на эти технологии. Обычно мобильный доступ в компаниях начинает применяться для небольшой группы (как правило, это руководство и IT), а в дальнейшем уже распространяется на остальной бизнес.
Тут есть два основных подхода – выдавать пользователям корпоративные мобильные устройства или следовать концепции BYOD (Bring Your Own Device) и устанавливать бизнес-приложения на персональные устройства сотрудников.
С корпоративными устройствами все более-менее понятно: организация может целиком и полностью задавать политику их применения, начиная от настроек безопасности устройства и заканчивая использованием корпоративных порталов для распространения мобильных приложений. Но для персональных устройств не все так очевидно. Здесь может потребоваться компромисс между уровнем безопасности бизнес-приложений, удобством пользователя и его персональными потребностями. Увеличивая уровень безопасности и контроля со стороны бизнеса, руководство уменьшает удобство пользования и ограничивает потребности владельца устройства. При использовании персональных устройств важно понимать, что мы не можем контролировать абсолютно все на телефоне работника - он сам выбирает, какие еще приложения ему ставить (помимо рабочих).
В реалиях российского рынка большинство организаций выбирает концепцию BYOD. Этому есть простое объяснение: одни пока не готовы платить за мобильное устройство для сотрудников, других останавливает отсутствие удобных лизинг-схем, которые есть на Западе.
Очевидно, что всегда существует опасность потери мобильного устройства, на котором может находиться конфиденциальная корпоративная информация. Да, современные устройства зачастую содержат механизмы защиты (уровень их эффективности оставим пока за скобками). Но эти механизмы в свою очередь уже могут влиять на самого пользователя и удобство работы. Тут можно привести пару простых примеров.
Во-первых, схема снятия разблокировки устройства – тут ее либо вообще не используют, либо используют PIN-код. К слову сказать, этот самый PIN с помощью специального ПО снимается за 20 минут. Аутентификация со сложным паролем, очевидно, будет неудобна для пользователя: кто будет рад набирать хотя бы восьмизначный пароль каждый раз, когда надо отправить SMS? Большинство вряд ли согласится применять такую схему - она неудобна.
Другой пример - если организация захочет защищать еще и содержимое мобильных устройств с помощью механизмов шифрования. Понятно, что для бизнеса и защиты конфиденциальной информации на устройстве это очень даже правильно. Однако пользователь может захотеть восстановить и личные данные, например в случае поломки устройства.
Еще тонкий момент возникает при использовании различных облачных сервисов организации: а все ли организации морально готовы к тому, что их конфиденциальная информация может оказаться в iCloud? А вот пользователю для личных данных этот сервис может быть очень даже удобен. Запрещая его, мы опять же ограничиваем пользователя.
Понятно, что для эффективного, удобного и безопасного применения концепции BYOD нужно стремиться искать компромисс.
Я вижу этот компромисс в выделении корпоративных данных на мобильном устройстве в отдельное приложение. В нем должны быть своя почта, календарь и контакты - те, которые нужны для бизнеса. А стандартные сервисы телефона пользователь может применять для личных нужд (в конце концов, это устройство принадлежит ему).
То есть, например, для аутентификации на устройстве абонент продолжит использовать удобный для него четырехзначный PIN-код (что он может делать много раз день), а для аутентификации в бизнес-приложения будет использоваться сложный пароль (в этом необходимость может возникать куда реже).
Если пользователю нужно работать на мобильном устройстве с документами (не только почта-календарь-контакты) за пределами защищенного приложения, то тут существуют решения по защите конкретных документов.
Таким образом, проблема доступа к корпоративным приложениям с мобильных устройств решается при помощи этой схемы. Если организация предоставляет рабочее мобильное устройство работнику, то тут уже можно задавать свою политику, разумеется, нужно учитывать и удобство использования этого решения. Если же организация выбирает концепцию BYOD, то тут уже необходимо идти на больший компромисс – не ущемлять личные нужды пользователей и в то же время обеспечить сохранность корпоративной информации.
