Quinfox s visie op Bring Your Own Device Steeds meer bedrijven staan het toe dat werknemers hun eigen smartphone, tablet of notebook gebruiken op het werk. Deze trend wordt aangeduid met de afkorting BYOD (Bring Your Own Device). Oftewel de consumerization van ICT. De grote vraag hierbij is: Hoe gaan we hier het best mee om? Transformatie van ICT Consumerization transformeert de ICT. Steeds meer bedrijven en instellingen werken aan een strategie die het voor medewerkers mogelijk maakt om eigen hardware mee te nemen naar het werk: Bring Your Own Device (BYOD). De belangrijkste redenen hiervoor zijn dat als medewerkers zelf kunnen bepalen welke hardware ze gebruiken, ze mobieler en productiever worden. De werknemerstevredenheid neemt hierdoor toe en maakt het voor een organisatie mogelijk om de beste mensen aan te nemen en vast te houden. Wanneer medewerkers, externe krachten of complete afdelingen zelf verantwoordelijk worden voor hun hardware, vallen voor ICT veel inkoopen beheerprocessen weg. Uiteraard zullen er bedrijven zijn die het gebruik van eigen hardware willen verbieden, tegen de consumerization trend in. Volgens onze inzichten is het een betere oplossing om niet tegen de stroom in te roeien maar alternatieve mogelijkheden en bijbehorende randvoorwaarden te onderzoeken en oplossingen te faciliteren die aan de bedrijfsvereisten voldoen. Waarom een BYOD strategie? In dit visiedocument willen wij onze relaties uitleggen hoe een complete BYOD-strategie kan worden ontwikkeld die de gebruikers maximale keuzevrijheid biedt en de ICT perfect laat inspelen op consumerization. Hierbij wordt rekening gehouden met alle vereisten op het gebied van beveiliging, performance, vereenvoudiging en kostenverlaging. Een volwaardige BYOD strategie biedt organisaties de mogelijkheid om: Meer medewerkersverantwoordelijkheid te creëren en ze hun eigen hardware te laten kiezen waarmee ze productiever en mobieler kunnen werken; Bedrijfsdata te beschermen tegen verlies en diefstal en tegelijk rekening te houden met alle privacy- en compliance verplichtingen inclusief risicomanagement; Kostenverlaging en beheersing te realiseren door het beheer en de monitoring te automatiseren; ICT te vereenvoudigen door applicaties maar één keer te installeren voor gebruik op alle mogelijke apparaten. Hoe een organisatie omgaat met BYOD, moet bij voorkeur worden vastgelegd in een formele policy. Vaak gebeurt dit nog niet, ondanks de realiteit dat veel mensen toch hun eigen hardware gebruiken voor bedrijfswerkzaamheden. Richtlijnen BYOD-strategie Een succesvolle BYOD strategie heeft de volgende richtlijnen: Het omvat zowel beleids- als technologische aspecten. Vanuit technologisch perspectief is de grote vraag hoe mensen op hun eigen apparatuur
toegang kunnen krijgen tot de applicaties, bestanden en data van de organisatie. Wanneer applicaties gewoon op het own device worden geïnstalleerd, levert dat niet alleen gevaren op voor de security, privacy en compliance, maar ook allerlei problemen met licenties en support. De beleidsaspecten dienen de volgende punten te omvatten: wie zijn de gebruikers, welke apparaten worden toegestaan, welke beschikbaarheid hanteren we, wat is de uitrol, welke kosten worden gedeeld, welke beveiliging is de standaard, welk gebruik wordt toegestaan en welke afspraken maken we over ondersteuning en onderhoud van de hardware. Het heeft als uitgangspunt volledig apparaat onafhankelijk kunnen werken. Dit is mogelijk met desktopvirtualisatie en toegang via een SSL VPN (zodat het netwerk van de organisatie goed afgeschermd blijft), aangevuld met een goed beveiligde synchronisatie en het delen van bestanden. Op deze manier kan de ICT-afdeling gebruikers optimale vrijheid bieden en tegelijk zorgen voor maximale beveiliging en controle. Zo hebben mensen ongeacht met welk apparaat ze werken, ongeacht welk netwerk ze gebruiken toegang tot al hun applicaties. Houdt de ICT afdeling of manager als regisseur. Afhankelijk van de bedrijfsprioriteiten en aandachtspunten moet de strategie worden opgesteld in nauw overleg met HR, Finance en Legal, waarbij de ICT managers als regisseurs optreden. Zij kunnen alle soorten applicaties snel en makkelijk aanbieden aan nieuwe medewerkers of juist weer intrekken als medewerkers de organisatie verlaten. Als alles centraal wordt geregeld via desktop- en applicatievirtualisatie worden gegevens, sessies en applicaties heel gedetailleerd aangestuurd. Daardoor is het mogelijk om bedrijfsdata van de eindapparatuur van de gebruikers te houden. Hierdoor maakt het niet meer uit van wie het apparaat is waar op gewerkt wordt. ICT hoeft daardoor geen persoonlijke apparatuur van de eindgebruikers te managen. Welke vragen moeten worden beantwoord in BYOD strategie Een geslaagd BYOD-initiatief combineert eenvoud voor de gebruikers met doeltreffende mogelijkheden voor ICT op het gebied van beveiliging, controle en beheer. Hierbij kan men het best uitgaan van de taken van de medewerkers en niet van de devices die ze gebruiken. Welke medewerkers? Organisaties moeten duidelijk maken welke medewerkers het recht hebben om eigen apparatuur te gebruiken. Belangrijk hierbij is om criteria op te stellen, zoals het type medewerker, hoe vaak iemand moet reizen, wat voor performance iemand nodig heeft en of iemand offline moet kunnen beschikken over bedrijfsdata en applicaties. Welke apparaten? Wanneer applicaties rechtstreeks op het eindpunt worden geïnstalleerd, moet de IT bepalen welke minimumspecificaties er gelden voor applicatieondersteuning, performance en andere apparaat specifieke criteria. Met desktopvirtualisatie vervalt dit, want met desktopvirtualisatie is het mogelijk om een complete Windows-desktop en alle
bedrijfsspecifieke applicaties te draaien op ieder apparaat. Daarnaast moet er met gezond verstand worden gekeken naar de functionaliteit van een apparaat. Voor een medewerker van de financiële administratie is het raadzamer om een apparaat te kiezen met een groot beeldscherm en een muis in plaats van een ipad met een touchscreen. Wie is eigenaar? Medewerkers die hun eigen hardware kopen via gebruikelijke consumentenkanalen zijn eigenaar van het apparaat en hebben een directe relatie met de fabrikant of leverancier van het apparaat. Sommige mensen werken op kantoor met bepaalde randapparatuur, zoals een monitor of toetsenbord. Hiervoor dient te worden vastgelegd wie welk onderdeel koopt en wie de eigenaar is. Wie is verantwoordelijk voor reparatie/ onderhoud Het BYOD principe vermindert veelal het onderhoud per apparaat, omdat de gebruiker ook eigenaar van het apparaat is. Uit de praktijk blijkt dat een werknemer zijn eigen bezittingen koestert en dat daardoor de kans op defecten of verliezen veel lager zijn. Neemt niet weg dat er in de BYOD strategie duidelijk en exact omschreven moet zijn hoe en door wie het support en onderhoud wordt geregeld en betaald. Welke beschikbaarheid? BYOD hoeft niet perse alles of niets te zijn. Het is goed om na te denken over de specifieke services die u op de BYO-apparaten beschikbaar wilt stellen of dat er verschillen zijn voor specifieke werkgroepen, gebruikers, apparaten en netwerken. Hoe implementeren? Zodra uw BYOD-strategie is vormgegeven, moet er voor een geslaagde implementatie goed worden gecommuniceerd. Leg uw mensen uit hoe ze kunnen deelnemen en hoe ze de juiste hardware kunnen kiezen voor hun specifieke behoeften. Daarnaast moeten ze ook weten wat hun verantwoordelijkheid is wanneer ze hun eigen apparatuur gebruiken, bijvoorbeeld met betrekking tot het gebruik en de opslag van data. Beveiliging en compliance Er is veel angst voor stijging van de risico s voor de bedrijfsvoering. Rechtstreekse installatie van applicaties op devices die niet door de werkgever ter beschikking zijn gesteld, kan de risico s verhogen. Met een BYOD-programma op basis van desktopvirtualisatie hoeft dit gelukkig niet. Alle gegevens van de organisatie blijven veilig in het datacenter. Een gevirtualiseerde omgeving werkt net zo goed op eigen devices als voor devices van de werkgever. Op het eindpunt komen de gegevens alleen in een volledig geïsoleerde omgeving te staan, versleuteld, en alleen wanneer dit absoluut noodzakelijk is. Voor het geval een BYOD-deelnemer de organisatie verlaat, het BYOD beleid wordt geschonden of een BYOdevice kwijtraakt of wordt gestolen, moet de ICT over een mechanisme beschikken om de toegang tot data en applicaties onmiddellijk te beëindigen.
De 10 adviezen van Quinfox: 1. Verbied BYOD niet maar kanaliseer het. Verbieden heeft geen zin, medewerkers zijn inventief en doen het toch. Zet in plaats daarvan het beleid op papier. 2. Voer risicoanalyses uit gericht op vertrouwelijkheid en verplicht tot COCD (Company Owned & Controlled Device) als risico's te groot zijn. 3. Laat de werknemer een solide gebruikersovereenkomst tekenen. Maak hierin de essentiële afspraken met betrekking tot het toestaan van configuratie en beheer door de werkgever, gebruik, gedragsregels, back-up, aansprakelijkheid (bijvoorbeeld als je per ongeluk privé data van de gebruiker wist) en sancties. Laat een jurist de overeenkomst controleren. 4. Creëer een ideaalpersoon die met heldere voorbeelden uitlegt wat wel en niet goed werknemer schap is, dan is het duidelijk op de werkvloer. 5. Sta alleen devices toe waarvoor een Citrix receiver beschikbaar is. Voor mobiele telefoons die alleen gebruikt worden voor e-mail en agenda gebruik is dit niet van toepassing. 6. Sta 'jail breaking' niet toe. Het doorbreken van standaard aangebrachte beveiliging is vragen om ellende en is niet nodig. 7. Zeg minimaal support toe, laat de gebruiker op zichzelf aangewezen zijn. Als het niet langer werkt door toedoen van de gebruiker: helaas. 8. Waak voor afhankelijkheid. Als het gebruik van BYOD bedrijf kritisch wordt, wordt het tijd voor Company Owned & Controlled Device (COCD). 9. Verplicht antivirus op alle BYOD-laptops. 10. Voortbordurend op het vorige punt: wees voorbereid op incidenten. BYOD en Uw Online Werkplek Een van de sterke punten van Uw Online Werkplek is altijd het tijd en plaats onafhankelijk kunnen werken geweest. Vandaag de dag moet daar een extra punt aan worden toegevoegd, het device onafhankelijk kunnen werken. Een angel in het BYOD concept is het veilig omgaan met bedrijfsgegevens. Het niet lokaal opslaan van bedrijfsgegevens is een belangrijke eerste stap om de angel te verwijderen. Door gebruik te maken van oplossingen die by design veilig zijn en er voor zorgen dat er geen gegevens lokaal opgeslagen hoeven te worden, zoals desktop virtualisatie, kan een veilige en flexibele BYOD omgeving worden gebouwd. Omdat de bedrijfsgegevens alleen online te benaderen zijn is het niet meer zo erg als iemand zijn smartphone in een restaurant laat liggen. Conclusie Ieder voordeel heb z n nadeel dat geldt ook voor BYOD. Zolang er een goede BYOD strategie aan ten grondslag ligt blijft het bij voordelen. Leg duidelijk en stellig in een regelement vast wat er met
BYOD wordt beoogd en wat er wordt verwacht van de gebruiker. Onthoudt hierbij de volgende principes: Wat bedrijf kritisch is behoort op een COCD systeem, niet op een privé device en zeker niet ergens op een internet harde schijf. Als deze zaken helder en duidelijk zijn, zal BYOD een positieve bijdrage leveren aan de werknemerstevredenheid en de productiviteit.