Tim kecil sering kali mengadopsi BYOD karena alasan sederhana: pekerjaan harus dilakukan sebelum program perangkat formal ada. Seorang kontraktor menggunakan laptop pribadi untuk mengunggah file. Seorang manajer menyetujui dasbor dari rumah. Seorang pendiri memeriksa panel admin dari telepon saat bepergian.
Fleksibilitas itu dapat bermanfaat. Ini juga mengubah pertanyaan keamanan.
Dengan perangkat milik perusahaan, tim biasanya dapat menentukan perangkat keras, pengaturan, pembaruan, proses dukungan, dan rutinitas offboarding secara lebih langsung. Dengan BYOD, perangkat milik pribadi menghadirkan lebih banyak variasi. Satu laptop boleh dipatch dan hanya digunakan oleh satu orang. Yang lain mungkin lebih tua, dibagikan di rumah, penuh dengan aplikasi pribadi, atau digunakan di beberapa proyek klien.
VPN dapat membantu dengan satu bagian penting dari gambaran tersebut: jalur jaringan. Hal ini dapat mendukung kebiasaan akses jarak jauh yang lebih aman ketika orang terhubung dari jaringan rumah, hotel, ruang kerja bersama, bandara, atau jaringan lain yang tidak dikelola oleh perusahaan. Namun perusahaan tidak dapat memutuskan perangkat pribadi mana yang dapat diterima, menerapkan setiap aturan akun, memisahkan file kerja dan pribadi, atau menghapus akses setelah seseorang keluar.
Itulah jawaban praktis untuk tim BYOD: gunakan VPN jika cocok, namun bangun rutinitas keamanan akses jarak jauh lainnya di sekitarnya.
BYOD Bukan Sekadar Keputusan Konektivitas
BYOD artinya “bawa perangkat Anda sendiri”. Dalam praktiknya, ini berarti karyawan, kontraktor, atau mitra menggunakan laptop, ponsel, atau tablet pribadi untuk beberapa tugas pekerjaan.
Panduan BYOD NCSC membingkainya sebagai keseimbangan antara kegunaan, risiko, kedalaman manajemen, dan kepemilikan data perusahaan. Pembingkaian tersebut berguna karena menjauhkan percakapan dari jebakan “sambungkan saja ke VPN”.
Sebelum perangkat pribadi mencapai akun kerja, tim harus mengetahui:
- Siapa yang diperbolehkan menggunakan perangkat pribadi untuk bekerja.
- Sistem kerja mana yang diperbolehkan dari perangkat pribadi.
- Kondisi perangkat apa yang dapat diterima sebelum diakses.
- Bagaimana data kerja dapat disimpan atau disinkronkan.
- Siapa yang mendukung perangkat ketika ada yang rusak.
- Apa yang terjadi jika perangkat hilang, dijual, diperbaiki, atau dibagikan.
- Bagaimana akses dihapus selama offboarding.
Jika jawaban tersebut tidak jelas, tim sebenarnya tidak mempunyai kebijakan byod. Ia memiliki kebiasaan, pengecualian, dan asumsi. VPN dapat membuat satu rute lebih aman, namun tidak dapat mengubah kepemilikan yang tidak jelas menjadi aturan yang jelas.
Dimana VPN Membantu Tim BYOD
VPN paling mudah dipahami sebagai alat jalur jaringan. Tergantung pada pengaturan dan produk yang digunakan, ini dapat membantu merutekan lalu lintas melalui terowongan VPN terenkripsi daripada membiarkan pengguna hanya mengandalkan jaringan lokal yang mereka gunakan.
Hal ini penting bagi BYOD karena perangkat pribadi sering kali terhubung dari jaringan di luar kendali perusahaan. Sebuah tim mungkin tidak mengetahui apakah jaringan Wi-Fi hotel dikonfigurasi dengan baik, apakah jaringan coworking penuh dengan perangkat yang tidak dikenal, atau apakah router rumah dipelihara dengan baik.
Dalam pengaturan tersebut, vpn untuk pekerjaan jarak jauh dapat menjadi bagian rutin yang berguna:
- Ini memberi pengguna cara yang pasti untuk terhubung ketika mereka jauh dari jaringan tepercaya.
- Hal ini dapat mengurangi paparan terhadap beberapa risiko jaringan lokal pada Wi-Fi publik atau bersama.
- Hal ini dapat membuat ekspektasi akses jarak jauh lebih mudah didokumentasikan bagi pengguna non-teknis.
- Itu bisa berada di samping kontrol akun seperti MFA dan batas izin.
VPN Unlimited by KeepSolid mungkin cocok dengan rutinitas kerja jarak jauh seperti itu sebagai opsi VPN, asalkan tim mendokumentasikan tanggung jawab VPN dan apa yang harus ditangani berdasarkan kebijakan, kontrol akses, dan kebersihan perangkat.Kuncinya adalah penetapan ekspektasi. VPN dapat mendukung jalur koneksi yang lebih aman. Ini tidak sama dengan mengelola perangkat pribadi.
Apa yang Tidak Dipecahkan oleh VPN
BYOD dan sumber akses jarak jauh yang disetujui menunjukkan arah umum yang sama: risiko BYOD lebih luas daripada koneksi itu sendiri.
VPN tidak secara otomatis menjawab pertanyaan seperti:
- Apakah laptop pribadi sudah diperbarui?
- Apakah teleponnya dipakai bersama dengan orang lain?
- Apakah pengguna mengaktifkan MFA?
- Apakah file pekerjaan disimpan ke penyimpanan pribadi?
- Apakah pengguna masih memerlukan akses ke sistem ini?
- Apakah akses kontraktor telah dihapus setelah proyek selesai?
- Apakah pengguna dilatih untuk melaporkan permintaan login yang mencurigakan atau perangkat yang hilang?
Akses jarak jauh NIST dan panduan BYOD lebih tua, namun masih berguna sebagai konteks dasar di sini: jaringan eksternal dan perangkat milik pribadi memerlukan kontrol berlapis. Hal ini mencakup kebijakan, perangkat klien yang aman, autentikasi, tingkat akses, enkripsi, patching, dan pertimbangan titik akhir. VPN termasuk dalam model berlapis itu dan bukan penggantinya.
Untuk tim kecil, perbedaan ini mencegah dua kesalahan umum. Yang pertama adalah memperlakukan akses VPN sebagai izin bagi perangkat pribadi apa pun untuk menjangkau alat kerja apa pun. Yang kedua adalah menganggap kebijakan tertulis sudah cukup sementara tidak ada yang memeriksa akses, pembaruan, atau penghentian.
Keamanan yang baik berada di antara kedua ekstrem tersebut. Praktis, ditulis, dan dimiliki oleh seseorang.
Apa yang Harus Diputuskan oleh Kebijakan BYOD Anda
Artikel kebijakan BYOD Deel berguna karena alasan praktis: artikel ini menjelaskan jenis keputusan yang harus ditentukan oleh tim jarak jauh sebelum perangkat pribadi menjadi normal. Detailnya akan berbeda-beda di setiap perusahaan, tetapi kategorinya merupakan daftar periksa perencanaan yang solid.
Kelayakan perangkat
Mulailah dengan memutuskan perangkat mana yang dapat digunakan. Laptop pribadi yang digunakan oleh seorang karyawan tidak memiliki risiko yang sama dengan tablet keluarga bersama atau ponsel lama yang tidak lagi menerima pembaruan.
Kebijakan Anda bisa sesederhana ini:
- Jenis perangkat yang diizinkan.
- Sistem operasi minimum atau ekspektasi pembaruan.
- Apakah perangkat bersama diperbolehkan.
- Dilarang melakukan rooting, jailbreak, atau perangkat yang dimodifikasi.
- Apa yang harus dilakukan pengguna jika perangkat hilang atau diganti.
Hindari menulis kebijakan yang hanya berfungsi untuk lingkungan IT yang sempurna jika tim Anda belum mencapainya. Jelas dan realistis lebih baik daripada tegas dan diabaikan.
Kontrol akses
Tidak semua pengguna BYOD memerlukan akses yang sama. Kontraktor yang mengedit dokumen tidak boleh secara otomatis menerima izin yang sama seperti seseorang yang mengelola catatan penagihan, infrastruktur, atau pelanggan.
Aturan yang berguna meliputi:
- Memberi orang akses hanya pada sistem yang diperlukan untuk peran mereka.
- Memerlukan MFA untuk akun penting.
- Hindari akun bersama yang mengutamakan akuntabilitas individu.
- Tinjau izin pada jadwal reguler.
- Hapus akses segera ketika seseorang meninggalkan peran atau proyek.
Di sinilah keamanan akses jarak jauh menjadi lebih luas dibandingkan penggunaan VPN. VPN dapat membantu dengan rute tersebut, tetapi akun dan izin masih memerlukan kontrolnya sendiri.
Penanganan data
Perangkat pribadi mengaburkan batasan. File yang diunduh untuk tugas cepat dapat tetap berada di folder pribadi. Ponsel mungkin menyinkronkan file ke akun cloud pribadi. Laptop yang digunakan untuk banyak klien mungkin mencampurkan ruang kerja.
Kebijakan BYOD harus menentukan data pekerjaan apa yang boleh diunduh, di mana data tersebut dapat disimpan, apakah salinan lokal diperbolehkan, dan bagaimana data harus ditangani ketika pekerjaan berakhir.Untuk pekerjaan yang diatur, dibatasi kontrak, atau sensitif, panduan blog umum saja tidak cukup. Tim harus menyelaraskan aturan BYOD dengan persyaratan hukumnya sendiri, HR, IT, klien, dan kepatuhan sebelum mengizinkan akses perangkat pribadi.
Batasan pemantauan dan privasi
BYOD berbeda dengan peralatan milik perusahaan karena perangkat tersebut juga milik orang tersebut. Artikel Deel menyebutkan batasan pemantauan dan privasi sebagai bagian dari desain kebijakan. Ini adalah pengingat yang berguna untuk tim kecil: jangan biarkan orang menebak-nebak tentang apa yang dapat dilihat, didukung, diminta, atau diminta oleh perusahaan pada perangkat pribadi.
Kebijakan tersebut harus menjelaskan apa yang diharapkan tanpa melampaui batas penggunaan pribadi. Jika tim memerlukan kontrol yang lebih dalam daripada yang dapat didukung oleh pengaturan perangkat pribadi, hal ini mungkin merupakan tanda bahwa pekerjaan tersebut berada pada peralatan yang dikelola perusahaan.
Dukungan dan penghentian
Dukungan BYOD bisa menjadi berantakan jika tidak ada yang menentukan batasannya. Akankah perusahaan membantu memecahkan masalah laptop pribadi? Apa yang terjadi jika koneksi VPN gagal sebelum batas waktu? Siapa yang mengonfirmasi bahwa akses akan dihapus ketika kontraktor keluar?
Tuliskan jawaban tersebut sebelum terjadi kejadian mendesak. Offboarding patut mendapat perhatian khusus karena tim kecil sering kali mengandalkan hubungan informal. Akses harus diakhiri karena pekerjaan telah berakhir, bukan karena seseorang mengingatnya beberapa minggu kemudian.
Praktik Terbaik Keamanan BYOD yang Cocok Dengan Penggunaan VPN
Artikel praktik terbaik BYOD dari Keeper memperkuat poin praktis: VPN atau aturan akses jarak jauh berada di samping kontrol lainnya. Untuk tim ringan IT, versi yang berguna adalah daftar singkat kebiasaan sehari-hari yang benar-benar dapat diikuti orang.
Praktik terbaik keamanan byod ini adalah titik awal yang baik:
- Tulis kebijakan BYOD dalam bahasa sederhana sebelum akses perangkat pribadi menjadi rutin.
- Memerlukan MFA untuk akun kerja penting.
- Jaga agar akses tetap sempit dan berbasis peran.
- Minta pengguna untuk terus memperbarui sistem operasi, browser, dan aplikasi inti.
- Tentukan data pekerjaan apa yang dapat diunduh atau disimpan secara lokal.
- Pisahkan data pekerjaan dan pribadi jika memungkinkan.
- Hindari penggunaan perangkat pribadi bersama untuk pekerjaan sensitif.
- Latih pengguna tentang Wi-Fi publik, perangkat yang hilang, perintah mencurigakan, dan langkah-langkah pelaporan.
- Tinjau akses secara teratur.
- Hapus akses saat offboarding, bukan setelah penundaan yang lama.
Tak satu pun dari langkah-langkah ini yang perlu dilakukan secara dramatis. Nilainya berasal dari membuat ekspektasi menjadi eksplisit. Orang akan lebih cenderung mengikuti suatu aturan jika mereka mengetahui kapan aturan tersebut berlaku, siapa pemiliknya, dan apa yang harus dilakukan jika terjadi kesalahan.
Pesan VPN Sederhana untuk Pengguna BYOD
“Gunakan VPN” terlalu kabur bagi sebagian besar tim. Ia tidak memberi tahu orang-orang kapan harus terhubung, apa yang harus dilakukan jika koneksi gagal, atau risiko apa yang masih ada.
Pesan yang lebih baik adalah pesan yang lebih spesifik:
- Gunakan VPN saat menghubungkan dari jaringan yang tidak dikontrol perusahaan, jika itu adalah bagian dari proses akses tim Anda.
- Tetap aktifkan MFA pada akun yang diperlukan.
- Jangan gunakan akses VPN sebagai izin untuk menyimpan file pekerjaan di mana pun Anda inginkan.
- Jangan menggunakan perangkat pribadi untuk bekerja yang tidak diperbolehkan oleh peran Anda, perjanjian klien, atau kebijakan perusahaan.
- Laporkan perangkat yang hilang, permintaan akun yang mencurigakan, atau perilaku akses yang tidak biasa dengan cepat.
- Tanyakan sebelum memindahkan data pekerjaan ke aplikasi atau penyimpanan pribadi.
Bahasa tersebut membuat VPN tetap berada di tempat yang tepat. Kebijakan ini mendukung jalur koneksi, sedangkan kebijakan BYOD menangani kelayakan perangkat, aturan data, akses akun, dukungan, dan penghentian.
Daftar Periksa Kesiapan BYOD Tim Kecil
Sebelum tim Anda bergantung pada perangkat pribadi untuk akses kerja rutin, pelajari pertanyaan-pertanyaan berikut:
- Cakupan perangkat: Laptop, ponsel, atau tablet pribadi mana yang diperbolehkan?
- Cakupan peran: Pengguna, kontraktor, atau mitra mana yang dapat menggunakan BYOD?
- Ruang lingkup kerja: Tugas apa yang dapat diterima dari perangkat pribadi?
- Cakupan akses: Sistem mana yang diperbolehkan, dibatasi, atau dilarang?
- Panduan VPN: Kapan pengguna harus terhubung melalui VPN?
- MFA: Akun mana yang memerlukan autentikasi multifaktor?
- Pembaruan: Garis dasar pembaruan perangkat apa yang diharapkan?
- Aturan data: Bisakah pengguna mengunduh, menyimpan, menyinkronkan, atau mencetak file kerja?
- Pelaporan: Siapa yang harus dihubungi pengguna setelah perangkat hilang atau permintaan mencurigakan?
- Offboarding: Siapa yang menghapus akses, dan kapan?
- Tinjau ritme: Seberapa sering izin dan aturan BYOD diperiksa?
Jika Anda belum dapat menjawab pertanyaan-pertanyaan ini, jangan mencoba menyelesaikan kesenjangan tersebut hanya dengan VPN. Mulailah dengan keputusan kebijakan, lalu tempatkan VPN di dalam alur kerja tersebut.
Kesimpulan Praktis
BYOD dapat membuat tim kecil lebih fleksibel, terutama ketika orang bekerja di rumah, bepergian, ruang kerja bersama, dan proyek jangka pendek. Namun perangkat pribadi juga memberikan lebih sedikit kendali langsung, lebih banyak variasi, dan lebih banyak kebutuhan akan batasan yang jelas.
VPN dapat menjadi bagian berguna dari akses jarak jauh yang lebih aman. Ini dapat mendukung jalur jaringan yang lebih terlindungi ketika orang terhubung dari tempat yang tidak dikelola oleh perusahaan. Hal ini juga dapat membuat instruksi kerja jarak jauh lebih mudah dijelaskan.
Namun keamanan byod masih bergantung pada kebijakan, MFA, batas akses, pembaruan perangkat, aturan penanganan data, perilaku pengguna, dan penghentian. Perlakukan VPN sebagai satu lapisan dalam sistem itu, bukan keseluruhan sistem.
Pertanyaan Umum
Apakah VPN cukup untuk tim BYOD?
Tidak. VPN dapat mendukung jalur koneksi jaringan, namun BYOD juga bergantung pada kondisi perangkat, perlindungan akun, izin, penanganan data, perilaku pengguna, dan offboarding. Ini harus menjadi satu lapisan dalam rencana yang lebih luas.
Apa saja yang harus disertakan dalam kebijakan BYOD?
Kebijakan praktis harus menentukan perangkat yang diizinkan, pengguna yang memenuhi syarat, sistem kerja yang diizinkan, persyaratan keamanan, aturan penanganan data, batasan dukungan, ekspektasi privasi, pelaporan insiden, dan langkah-langkah penghentian.
Kapan sebaiknya pekerja jarak jauh menggunakan VPN?
Itu tergantung pada proses akses tim. Banyak tim menyertakan penggunaan VPN ketika orang terhubung dari jaringan yang tidak dikontrol perusahaan, seperti Wi-Fi publik, jaringan perjalanan, ruang kerja bersama, atau jaringan rumah. Aturan tersebut harus ditulis dan dipasangkan dengan MFA, batas akses, dan ekspektasi perangkat.
Apa saja celah keamanan BYOD yang umum?
Kesenjangan yang umum terjadi mencakup perangkat yang ketinggalan jaman, perangkat pribadi yang digunakan bersama, aturan penyimpanan data yang tidak jelas, perlindungan akun yang lemah, izin yang berlebihan, proses offboarding yang hilang, dan instruksi yang tidak jelas tentang apa yang harus dilakukan pengguna ketika perangkat hilang atau login terlihat mencurigakan.
Apakah BYOD memerlukan tinjauan hukum atau kepatuhan?
Kadang-kadang. Jika tim Anda menangani data yang diatur, informasi sensitif klien, catatan karyawan, catatan keuangan, atau materi yang dibatasi kontrak, selaraskan aturan BYOD dengan persyaratan hukum, HR, IT, kontrak, dan kepatuhan Anda sebelum mengandalkan akses perangkat pribadi.