BYOD नीति क्या है? नियम, लागू करना और DNS फ़िल्टरिंग

कर्मचारी के व्यक्तिगत फ़ोन में कार्य संबंधी ईमेल ऐप होता है। फिर वे उसे ट्रेन में भूल जाते हैं। क्या IT पहुँच को तुरंत ब्लॉक कर सकता है? क्या यह पारिवारिक फ़ोटो को हटाए बिना कार्य संबंधी संदेशों को हटा सकता है? कर्मचारी को किसे कॉल करना चाहिए?

वे उत्तर इस बात पर निर्भर नहीं होने चाहिए कि हेल्पडेस्क टिकट कौन उठाता है। एक ब्रिंग योर ओन डिवाइस पॉलिसी, जिसे आमतौर पर BYOD नीति के रूप में संक्षिप्त किया जाता है, किसी व्यक्तिगत डिवाइस के व्यावसायिक इंसिडेंट बनने से पहले नियम निर्धारित करती है।

विषय सूची

• BYOD नीति में क्या शामिल है और यह क्यों मौजूद है
  • वे प्रश्न जिनका उत्तर हर नीति को देना आवश्यक है
  • BYOD नीति के मुख्य तत्व
• सुरक्षा नियंत्रण जो नीति के तहत अनिवार्य होने चाहिए
  • आवश्यकताओं को एक्सेस जांच में बदलें
  • नियंत्रणों को ऑडिट योग्य बनाएं
• प्रवर्तन विकल्पों की तुलना
  • नियंत्रण और गोपनीयता प्रभाव के अनुसार प्रवर्तन विकल्प
  • संसाधन के लिए नियंत्रण चुनें, लेबल के लिए नहीं
• DNS और कंटेंट फ़िल्टरिंग BYOD नियंत्रणों में कैसे फिट होते हैं
  • ट्रैफिक को फ़िल्टर करने से पहले डिवाइसों को रोकें
  • DNS लेयर क्या कर सकती है और क्या नहीं
• गोपनीयता सीमाएं, निगरानी और कर्मचारी की सहमति
  • व्यक्तिगत डिवाइस पर BYOD नीति की पहुंच कहां तक हो सकती है
  • सीमाओं को लिखित रूप में दर्ज करें
• डिवाइस अनुपालन से परे पहचान और पहुंच का जोखिम
  • साइन-इन के बाद क्या होता है, यह परिभाषित करें
• खोए हुए, चोरी हुए और जाने वाले कर्मचारियों के डिवाइस की प्रक्रिया
  • हेल्पडेस्क प्रतिक्रिया अनुक्रम
• नीति लिखने से पहले अपना BYOD दायरा चुनें
  • दायरे को ठोस बनाएं
  • लोगों को नेटवर्क से मैप करें

BYOD नीति में क्या शामिल है और यह क्यों मौजूद है

BYOD नीति नियमों का एक औपचारिक समूह है कि व्यक्तिगत स्वामित्व वाले फ़ोन, टैबलेट और लैपटॉप किसी संगठन के सिस्टम और डेटा तक कैसे पहुँच प्राप्त कर सकते हैं। यह किसी डिवाइस का उपयोग करने की अनुमति को लागू करने योग्य सुरक्षा आवश्यकताओं, गोपनीयता सीमाओं और जिम्मेदारियों से जोड़ता है।

कर्मचारी अभी भी फोन का मालिक है। वर्क ऐप इंस्टॉल करने से स्वामित्व नियोक्ता को हस्तांतरित नहीं होता है, और फोन का मालिक होने से कर्मचारी को कंपनी की जानकारी तक अप्रतिबंधित एक्सेस नहीं मिल जाती है। समझौते में दोनों पक्षों के अधिकारों को परिभाषित किया जाना चाहिए।

वे प्रश्न जिनका उत्तर हर नीति को देना आवश्यक है

एक उपयोगी पॉलिसी तीन प्रश्नों के उत्तर देती है: कौन कनेक्ट कर सकता है, वे कहाँ तक पहुँच सकते हैं, और कौन सी सुरक्षा और गोपनीयता शर्तें लागू होती हैं। खोए हुए फोन के लिए, वे उत्तर यह निर्धारित करते हैं कि ईमेल एक्सेस अधिकृत था या नहीं, कौन सी व्यावसायिक फ़ाइलों को स्थानीय रूप से संग्रहीत किया जा सकता था और IT कौन सी प्रतिक्रियात्मक कार्रवाई कर सकता है।

जैसे-जैसे व्यक्तिगत डिवाइस कभी-कभार होने वाले अपवादों से परे फैलने लगे, BYOD एक कार्यस्थल मुद्दा बन गया। Intel के अनुभव का Destination CRM का विवरण इस रुझान को पहचानने में 2009 को एक मील का पत्थर मानता है। महत्वपूर्ण बदलाव सिर्फ यह नहीं था कि हार्डवेयर किसने खरीदा। नियोक्ताओं को उन डिवाइसों पर पहचान, नेटवर्क और जानकारी की सुरक्षा करनी थी जो उनके स्वामित्व में नहीं थे।

यह प्रथा व्यापक रूप से जारी है: Grand View Research द्वारा उद्धृत JumpCloud की IT ट्रेंड्स रिपोर्ट के अनुसार, 2024 में 70% संगठनों ने कर्मचारियों को काम के लिए व्यक्तिगत डिवाइस का उपयोग करने की अनुमति दी। केवल अनुमति देना ही सुरक्षा नहीं है: JumpCloud के BYOD आंकड़ों की रिपोर्ट है कि, 2024 में, 20% से अधिक संगठनों ने कहा कि पिछले 12 महीनों के दौरान अननेज्ड डिवाइस कनेक्शन के कारण डिजिटल परिसंपत्तियों ने मालवेयर डाउनलोड किया था।

BYOD नीति के मुख्य तत्व

नीति तत्व	जिस प्रश्न का यह उत्तर देती है	सामान्य नियम
पात्र डिवाइस	कौन से डिवाइस और ऑपरेटिंग सिस्टम कनेक्ट हो सकते हैं?	केवल समर्थित OS संस्करण, जिसमें IT द्वारा निर्धारित न्यूनतम संस्करण शामिल है
प्रमाणीकरण (Authentication)	उपयोगकर्ता अपनी पहचान कैसे साबित करता है?	मल्टीफैक्टर प्रमाणीकरण, अधिमानतः फ़िशिंग-प्रतिरोधी
सुरक्षा नियंत्रण	डिवाइस में क्या लागू होना अनिवार्य है?	स्क्रीन लॉक, एन्क्रिप्शन, अद्यतन OS पैच, कोई जेलब्रेक या रूट नहीं
पहुंच का दायरा	डिवाइस किन प्रणालियों और ऐप्स तक पहुंच सकता है?	स्वीकृत ऐप्स और न्यूनतम-विशेषाधिकार संसाधन सूची
गोपनीयता और निगरानी	नियोक्ता क्या देख या जांच सकता है?	निगरानी केवल प्रबंधित कंटेनर तक सीमित, कर्मचारी को पूर्व सूचना के साथ
खोया, चोरी हुआ या जाने वाला डिवाइस	व्यावसायिक डेटा का क्या होता है?	कार्य कंटेनर का चयनात्मक वाइप (Selective wipe) और पहुंच रद्द करना
सहायता और लागत	भुगतान कौन करता है और समस्याओं का समाधान कौन करता है?	प्रतिपूर्ति नियम और निर्धारित सहायता सीमाएं

प्रत्येक पंक्ति के लिए एक विशिष्ट नियम की आवश्यकता होती है, न कि सुरक्षित रूप से व्यवहार करने का एक सामान्य वादा। न्यूनतम समर्थित ऑपरेटिंग सिस्टम का नाम बताएं, स्वीकृत एप्लिकेशनों की पहचान करें और यह सटीक रूप से परिभाषित करें कि वाइप से क्या हटाया जा सकता है। आपात स्थिति के दौरान कर्मचारियों को तकनीकी अस्पष्टता का अर्थ निकालने की आवश्यकता नहीं होनी चाहिए।

सुरक्षा नियंत्रण जिन्हें नीति द्वारा अनिवार्य किया जाना चाहिए

सुरक्षा आवश्यकताएं एक्सेस के लिए शर्तें होनी चाहिए, न कि ऐसे सुझाव जिन्हें कर्मचारी अनदेखा कर सकें। यदि कोई डिवाइस किसी अनिवार्य शर्त में विफल रहता है, तो IT को प्रभावित एक्सेस को ब्लॉक कर देना चाहिए और यह समझाना चाहिए कि कर्मचारी इसे कैसे पुनः प्राप्त कर सकता है।

NIST का मोबाइल-डिवाइस BYOD मार्गदर्शन एंटरप्राइज मोबिलिटी मैनेजमेंट, एप्लिकेशन वेटिंग, डिवाइस-इंटीग्रिटी चेक, प्रोटेक्टेड वर्क कंटेनर और एन्क्रिप्टेड ट्रांसपार्ट का समर्थन करता है। व्यक्तिगत डिवाइस को तब तक संभावित रूप से अविश्वसनीय मानें जब तक कि संबंधित जांच पास न हो जाए, न कि केवल इसलिए उस पर भरोसा करें क्योंकि उसका मालिक आपके लिए काम करता है।

आवश्यकताओं को एक्सेस जांच में बदलें

1. समर्थित ऑपरेटिंग सिस्टम और पैच की समय सीमा आवश्यक करें। समर्थित संस्करणों के नाम निर्दिष्ट करें और एक परिभाषित समय सीमा के भीतर अपडेट आवश्यक करें, क्योंकि छूटे हुए पैच हमलावरों के लिए ज्ञात कमजोरियों को सुलभ छोड़ सकते हैं।
2. एन्क्रिप्शन और एक प्रभावी स्क्रीन लॉक आवश्यक करें। डिवाइस तक पहुँचने के लिए स्वीकृत तरीकों, न्यूनतम क्रेडेंशियल आवश्यकताओं और निष्क्रियता टाइमआउट को निर्दिष्ट करें ताकि चोरी हुआ या ध्यान न दिया गया फ़ोन कार्य ईमेल तक तत्काल पहुँच प्रदान न करे।
3. कार्य लॉगिन के लिए मजबूत प्रमाणीकरण आवश्यक करें। जहाँ समर्थित हो, वहाँ फ़िशिंग-प्रतिरोधी प्रमाणीकरण को प्राथमिकता दें, और किसी स्वीकृत डिवाइस को उपयोगकर्ता की पहचान साबित करने का विकल्प न बनने दें।
4. स्वीकृत एनरोलमेंट या सुरक्षित कार्य प्रोफ़ाइल आवश्यक करें। व्यावसायिक जानकारी को प्रबंधित एप्लिकेशन या स्टोरेज में रखें ताकि IT व्यक्तिगत ऐप्स को कंपनी की संपत्ति माने बिना व्यावसायिक नियंत्रण लागू कर सके।
5. रूटेड या जेलब्रोकन डिवाइस को ब्लॉक करें। ये संशोधन प्लेटफ़ॉर्म सुरक्षा उपायों को कमजोर कर सकते हैं जिन पर अनुपालन जाँच निर्भर करती है।
6. केवल स्वीकृत कार्य एप्लिकेशन की अनुमति दें। स्वीकृति से पहले अनुमतियों और डेटा-शेयरिंग व्यवहार की समीक्षा करें, जिसमें यह भी शामिल है कि क्या कोई ऐप व्यावसायिक फ़ाइलों को व्यक्तिगत स्टोरेज में कॉपी कर सकता है।
7. एन्क्रिप्टेड ट्रांसपोर्ट आवश्यक करें। सुरक्षित एप्लिकेशन कनेक्शन और जहाँ उपयुक्त हो वहाँ VPN का उपयोग करें, साथ ही यह पहचानने वाले स्पष्ट नियम भी हों कि किन संसाधनों को उस सुरक्षित मार्ग की आवश्यकता है।

यह चेकलिस्ट दृश्य डिवाइस-स्तरीय पूर्वापेक्षित आवश्यकताओं को हाइलाइट करता है जिन्हें IT को मान्य करना होगा।

नियंत्रणों को ऑडिट योग्य बनाएं

लैपटॉप के लिए, समर्थित एंडपॉइंट प्रोटेक्शन का नाम बताएं और यह भी बताएं कि IT कैसे सत्यापित करता है कि यह सक्रिय है। Windows और Mac के लिए सुरक्षा सॉफ़्टवेयर विकल्पों से संबंधित 247TechTeam गाइड पाठकों को सॉफ़्टवेयर विकल्पों की तुलना करने में मदद कर सकती है, लेकिन IT को अभी भी अपना स्वीकृत कॉन्फ़िगरेशन स्वयं परिभाषित करना होगा।

डिवाइस की आवश्यकताओं को नेटवर्क विभाजन से अलग रखें। अपने हेल्थ चेक पास करने वाले लैपटॉप को अपने-आप अप्रतिबंधित नेटवर्क एक्सेस नहीं मिलना चाहिए।

ऑडिट परीक्षण: प्रत्येक अनिवार्य नियंत्रण के लिए एक नामित मालिक, एक कार्यान्वयन की समय सीमा और अनुपालन की जाँच करने का एक विश्वसनीय तरीका होना चाहिए।

यदि नीति कहती है कि कर्मचारियों को डिवाइस सुरक्षित रखने चाहिए, लेकिन कोई भी यह सत्यापित नहीं कर सकता कि इसका क्या अर्थ है, तो यह प्रवर्तन के लिए तैयार नहीं है।

अनुपालन (Enforcement) विकल्पों की तुलना

ट्रेन में छूटे फ़ोन पर वापस आते हैं। उपयुक्त रूप से कॉन्फ़िगर किए गए पूर्ण-डिवाइस प्रबंधन के साथ, IT के पास पूरे फ़ोन को मिटाने की तकनीकी क्षमता हो सकती है। प्रबंधित कार्य प्रोफ़ाइल के साथ, IT उस कार्रवाई से व्यक्तिगत फ़ोटो को बाहर रखते हुए व्यावसायिक वातावरण को लक्षित कर सकता है।

तकनीकी क्षमता और अनुमति अलग-अलग चीजें हैं। वाइप बटन की सुविधा देने वाला प्रबंधन कंसोल यह स्थापित नहीं करता है कि इसका उपयोग करना उपयुक्त या अधिकृत है।

नियंत्रण और गोपनीयता प्रभाव के आधार पर प्रवर्तन विकल्प

नीचे दी गई गोपनीयता रेटिंग व्यावहारिक तुलनाएँ हैं, गारंटी नहीं। वास्तविक एक्सपोज़र प्लेटफॉर्म क्षमताओं, कॉन्फ़िगरेशन और एडमिनिस्ट्रेटर द्वारा सक्षम की गई टेलीमेट्री पर निर्भर करता है।

विकल्प	यह क्या नियंत्रित करता है	मुख्य सीमा	गोपनीयता प्रभाव
पूर्ण मोबाइल डिवाइस प्रबंधन	पूरे डिवाइस की सेटिंग्स, ऐप्स और जहाँ समर्थित हो वहाँ पूरी तरह से वाइप करना	व्यक्तिगत डिवाइस मालिक पूर्ण नियंत्रण का विरोध कर सकते हैं	उच्च
प्रबंधित वर्क प्रोफाइल या कंटेनर	वर्क ऐप्स और वर्क डेटा	उसी डिवाइस पर व्यक्तिगत ऐप्स की सुरक्षा नहीं करता है	कम से मध्यम
मोबाइल एप्लिकेशन प्रबंधन	व्यक्तिगत स्वीकृत ऐप्स और उनका डेटा	डिवाइस-व्यापी खतरों की पूरी दृश्यता प्रदान नहीं कर सकता	कम
सशर्त पहुंच (Conditional access)	क्या कोई डिवाइस या सत्र क्लाउड ऐप तक पहुंच सकता है	सटीक डिवाइस-अनुपालन संकेतों की आवश्यकता होती है	कम
मोबाइल खतरे से सुरक्षा (Mobile threat defence)	डिवाइस पर मैलवेयर और जोखिम भरी कॉन्फ़िगरेशन	एक एजेंट और डिवाइस टेलीमेट्री जोड़ता है	मध्यम

पूर्ण प्रबंधन (Full management) उन स्थितियों के लिए उपयुक्त है जहाँ संगठन को व्यापक नियंत्रण की आवश्यकता होती है और कर्मचारी इसके निहितार्थों को समझते हैं। जहाँ विनियमित जानकारी के लिए इस स्तर की निगरानी की आवश्यकता होती है, वहाँ व्यक्तिगत हार्डवेयर पर इसे थोपने के बजाय कंपनी के स्वामित्व वाले उपकरण जारी करना अधिक उपयुक्त हो सकता है।

सामान्य BYOD भागीदारी के लिए वर्क प्रोफ़ाइल या कंटेनर अक्सर एक बेहतर शुरुआती बिंदु होता है। यह IT को प्रबंधित करने के लिए एक निश्चित व्यावसायिक क्षेत्र देता है, भले ही यह डिवाइस पर अन्य सभी चीज़ों को सुरक्षित न बनाए।

लेबल के लिए नहीं, बल्कि संसाधन के लिए नियंत्रण चुनें

एप्लिकेशन प्रबंधन उन कर्मचारियों के लिए उपयुक्त हो सकता है जिन्हें केवल एक मैसेजिंग ऐप और एक दस्तावेज़ व्यूअर की आवश्यकता होती है। इसकी उपयोगिता इस बात पर निर्भर करती है कि क्या वे एप्लिकेशन आवश्यक प्रतिबंधों को लागू कर सकते हैं, जैसे कि व्यावसायिक दस्तावेजों को गैर-प्रबंधित ऐप्स में खुलने से रोकना।

सशर्त पहुँच क्लाउड सेवाओं के लिए उपयुक्त है क्योंकि व्यवस्थापक साइन-इन के समय या समर्थित सत्र जांच के दौरान प्रवेश के निर्णय ले सकते हैं। मोबाइल खतरा सुरक्षा अतिरिक्त जोखिम संकेत प्रदान करती है, लेकिन पहचान किसी पहुँच निर्णय या प्रतिक्रिया प्रक्रिया को प्रतिस्थापित नहीं करती है।

ये विकल्प परस्पर अनन्य नहीं हैं। एक संगठन संकीर्ण रूप से परिभाषित उपयोगकर्ता समूह के लिए अधिक सख्त प्रबंधन का उपयोग करते हुए, कार्य कंटेनर, सशर्त पहुँच और खतरे का पता लगाने को जोड़ सकता है।

पूरे डिवाइस पर IT के पास जितना अधिक अधिकार होगा, कर्मचारी को उतनी ही अधिक गोपनीयता छोड़नी पड़ सकती है।

सबसे कम हस्तक्षेप वाले तरीके से शुरुआत करें जो अभी भी सबसे संवेदनशील सिस्टम की सुरक्षा करता है। कोई दूसरा नियंत्रण केवल तभी जोड़ें जब आप उस जोखिम का नाम बता सकें जिसे वह संबोधित करता है और यह समझा सकें कि मौजूदा नियंत्रण इसे क्यों नहीं संभालते हैं।

DNS और सामग्री फ़िल्टरिंग BYOD नियंत्रणों में कैसे फिट होते हैं

व्यक्तिगत डिवाइसों को सीधे विश्वसनीय कॉर्पोरेट नेटवर्क पर नहीं होना चाहिए। उन्हें अलग से नियंत्रित BYOD या गेस्ट नेटवर्क पर रखें, और फिर जानबूझकर व्यावसायिक संसाधनों तक पहुँच को अधिकृत करें।

NIST का मोबाइल-डिवाइस सुरक्षा मार्गदर्शन एंटरप्राइज़ DMZ के बाहर एक अलग BYOD नेटवर्क की सिफारिश करता है, जिसमें उपयोगकर्ताओं को सुरक्षित रिमोट एक्सेस के माध्यम से मिलने वाली आंतरिक पहुंच से अधिक पहुंच न हो। इसका मतलब है कि WiFi में शामिल होना पेरोल डेटाबेस, बिल्डिंग-मैनेजमेंट सिस्टम या प्रशासनिक इंटरफेस तक पहुंचने की अनुमति नहीं है।

डिवाइसों के ट्रैफ़िक को फ़िल्टर करने से पहले उन्हें सीमित करें

मान लीजिए कि होटल का एक कर्मचारी मैलवेयर वाला एक व्यक्तिगत लैपटॉप लाता है। नेटवर्क अलगाव को उस लैपटॉप को आरक्षण बुनियादी ढांचे या अन्य मेहमानों के उपकरणों से सीधे संपर्क करने से रोकना चाहिए। इसके बाद फ़िल्टरिंग उन इंटरनेट गंतव्यों को कम कर सकती है जिनसे वह संपर्क कर सकता है।

आरेख उस अलगाव को दर्शाता है। आंतरिक एप्लिकेशनों के लिए स्वीकृत पहुँच के लिए अभी भी अपने सुरक्षित, अधिकृत मार्ग की आवश्यकता होती है।

DNS फ़िल्टरिंग लुकअप चरण में काम करती है। किसी साइट को खोलने या किसी ऐप की सेवा से संपर्क करने से पहले, एक डिवाइस सामान्यतः DNS से पूछता है कि प्रासंगिक डोमेन कहाँ मिलेगा; एक फ़िल्टरिंग रिज़ॉल्वर दुर्भावनापूर्ण या प्रतिबंधित के रूप में पहचाने गए डोमेन को अस्वीकार कर सकता है।

DNS फ़िल्टरिंग क्या काम करती है, इसका एक व्यावहारिक परिचय इसे हर पेज या फ़ाइल की जांच करने से अलग पहचान देने में मदद करता है। फ़िल्टर डोमेन अनुरोध का मूल्यांकन करता है, न कि उस हर चीज़ का जो उपयोगकर्ता एक अनुमति प्राप्त कनेक्शन शुरू होने के बाद कर सकता है।

DNS लेयर क्या कर सकती है और क्या नहीं

DNS फ़िल्टरिंग पहचान किए गए फ़िशिंग डोमेन और कमांड-एंड-कंट्रोल गंतव्यों को ब्लॉक कर सकती है। कंटेंट नियम एडल्ट कंटेंट या जुए जैसी श्रेणियों को भी प्रतिबंधित कर सकते हैं, जिसमें कर्मचारियों और सार्वजनिक उपयोगकर्ताओं के लिए अलग-अलग नेटवर्क नियम होते हैं।

उदाहरण के लिए, Purple Shield प्रत्येक व्यक्तिगत डिवाइस पर किसी एजेंट की आवश्यकता के बिना, उस नेटवर्क की नीति का उपयोग करके DNS अनुरोधों का उत्तर देता है जिस पर डिवाइस स्थित है। यह डिवाइस और पहचान नियंत्रणों को बदलने के बजाय उन्हें पूरा करता है।

सीमाएं महत्वपूर्ण हैं:

• अपरिचित गंतव्य आगे बढ़ सकते हैं। एक नए बनाए गए दुर्भावनापूर्ण डोमेन का जोखिम वर्गीकरण अभी तक नहीं हुआ हो सकता है।
• एक अनुमति प्राप्त डोमेन स्वच्छ-सामग्री की गारंटी नहीं है। केवल DNS किसी एन्क्रिप्टेड डाउनलोड की जांच नहीं कर सकता या एक ही डोमेन के तहत होस्ट किए गए प्रत्येक पृष्ठ में अंतर नहीं कर सकता।
• नेटवर्क से बाहर के ट्रैफ़िक पर अलग से विचार करने की आवश्यकता है। व्यक्तिगत सेलुलर डेटा का उपयोग करने वाला फ़ोन केवल इसलिए स्थल के फ़िल्टरिंग का उपयोग नहीं करेगा क्योंकि वह पहले WiFi से जुड़ा था।
• वैकल्पिक रिज़ॉल्यूशन पथ इच्छित नियंत्रण को बायपास कर सकते हैं। प्रशासकों को भिन्न रिज़ॉल्वर का उपयोग करने वाले डिवाइसों के लिए एक स्पष्ट दृष्टिकोण की आवश्यकता होती है।

पॉलिसी के नेटवर्क वाले हिस्से को एक छोटी परिचालन चेकलिस्ट के साथ पूरा करें: अलग नेटवर्क, प्रत्येक नेटवर्क के लिए दस्तावेज वाली पॉलिसी, और एक निश्चित समय-सारणी पर लॉग की समीक्षा। प्रत्येक कार्य के लिए एक स्वामित्व सौंपें ताकि ब्लॉकिंग नियम एक लावारिस कॉन्फ़िगरेशन न बन जाएं।

गोपनीयता सीमाएं, निगरानी और कर्मचारी की सहमति

एक BYOD नीति एक कार्यस्थल गोपनीयता समझौता भी है। व्यक्तिगत डिवाइस को एनरोल करने से पहले कर्मचारियों को यह जानना होगा कि नियोक्ता क्या एकत्र कर सकता है, जांच कर सकता है और मिटा सकता है, न कि किसी एडमिनिस्ट्रेटर द्वारा उन शक्तियों का उपयोग करने के बाद।

UK सरकार की 2025 BYOD मोबाइल नीति के लिए एक डेटा प्रोटेक्शन इम्पैक्ट असेसमेंट, एक स्पष्ट गोपनीयता नोटिस और जहां संभव हो कॉर्पोरेट रूप से प्रबंधित ऐप या कंटेनर तक सीमित निगरानी की आवश्यकता होती है। यह उस नीति की एक आवश्यकता है, न कि इस बात का प्रमाण कि दुनिया भर में हर नियोक्ता पर समान कानूनी कर्तव्य लागू होते हैं।

BYOD नीति व्यक्तिगत डिवाइस पर कहां तक पहुंच सकती है

प्रत्येक प्रबंधन प्लेटफ़ॉर्म के सार्वभौमिक विवरणों के बजाय, निर्दिष्ट करने के लिए ये व्यावहारिक सीमाएं हैं।

डेटा प्रकार	सामान्य व्यवहार	यह क्यों महत्वपूर्ण है
प्रबंधित कंटेनर में कार्य ईमेल और व्यावसायिक फ़ाइलें	निर्धारित अधिकार के तहत IT द्वारा सुलभ और वाइप करने योग्य	मुख्य डेटा जिसकी सुरक्षा के लिए नीति मौजूद है
व्यक्तिगत तस्वीरें और निजी संदेश	रूटीन नीति के दायरे से बाहर	जांच किए जाने पर व्यक्तिगत गोपनीयता और कानूनी जोखिम
एप्लिकेशन इन्वेंट्री	जहां संभव हो, केवल प्रबंधित ऐप्स	एक पूर्ण इन्वेंट्री व्यक्तिगत आदतों को उजागर कर सकती है
डिवाइस का स्थान (Location)	केवल उल्लेखित उद्देश्य और अधिकार के साथ एकत्र किया गया	संवेदनशील जानकारी जिसके लिए प्रतिधारण (retention) सीमा की आवश्यकता होती है
कार्य नेटवर्क पर ब्राउज़िंग	सूचना के साथ, DNS अनुरोधों को लॉग किया जा सकता है	लॉग सुरक्षा उद्देश्य के अनुपात में होने चाहिए
रिमोट वाइप का दायरा	जहां कंटेनर मौजूद हो, केवल कार्य कंटेनर	एक पूर्ण वाइप असंबंधित व्यक्तिगत डेटा को नष्ट कर सकता है

सीमाओं को लिखित रूप में दर्ज करें

गोपनीयता सूचना में निम्नलिखित की पहचान होनी चाहिए:

• संग्रहण और उद्देश्य। एप्लिकेशन इन्वेंट्री, स्थान, नेटवर्क नाम और एकत्र किए गए अन्य टेलीमेट्री की सूची बनाएं, साथ ही प्रत्येक का कारण भी बताएं।
• पहुंच और प्रतिधारण। उन भूमिकाओं के नाम बताएं जिन्हें रिकॉर्ड का निरीक्षण करने की अनुमति है और निर्दिष्ट करें कि रिकॉर्ड कब हटाए जाते हैं।
• प्रबंधन की सीमाएं। निगरानी का दायरा, रिमोट-वाइप का अधिकार और किसी भी असाधारण जांच प्रक्रिया के बारे में बताएं।
• कर्मचारी सुरक्षा उपाय। गलती से हुए ब्लॉक या डिलीशन को चुनौती देने का मार्ग प्रदान करें, और नामांकन से पहले प्रतिपूर्ति और सहायता जिम्मेदारियों को तय करें।

कर्मचारी गोपनीयता और संचार निगरानी के संतुलन पर Pebb की चर्चा यह समझाने के लिए उपयोगी संदर्भ है कि निगरानी की सीमाएं क्यों आवश्यक हैं। नेटवर्क नोटिसों को यह भी स्पष्ट करना चाहिए कि DNS over HTTPS संपूर्ण ब्राउज़िंग निगरानी का वादा करने के बजाय DNS दृश्यता को कैसे प्रभावित करता है।

कर्मचारी समझौते को असीमित सहमति नहीं माना जाना चाहिए। जिस व्यक्ति को अपना काम करने के लिए फोन की आवश्यकता होती है, उसके पास सौदेबाजी की व्यावहारिक शक्ति बहुत कम हो सकती है, इसलिए विकल्पों की व्याख्या करें और क्षेत्राधिकार-विशिष्ट गोपनीयता सलाह प्राप्त करें।

एक चयनात्मक वाइप से पहले गलती से प्रबंधित स्टोरेज में कॉपी की गई पारिवारिक फ़ोटो लाइब्रेरी पर विचार करें। केवल एक लिखित वादा उन फ़ाइलों को पुनर्स्थापित नहीं करेगा, यही कारण है कि तकनीकी अलगाव और परीक्षण महत्वपूर्ण हैं।

क्या संगठन व्यक्तिगत सामग्री को पढ़े बिना अपना सुरक्षा लक्ष्य प्राप्त कर सकता है?

डिवाइस अनुपालन से परे पहचान और पहुंच का जोखिम

कोई डिवाइस अपनी हेल्थ जाँच पास कर सकता है, भले ही कोई व्यक्ति उस पर किसी खाते का दुरुपयोग कर रहा हो। एक इन्फ़ोस्टीलर क्रेडेंशियल उजागर कर सकता है, परिवार का कोई सदस्य मौजूदा सत्र खोल सकता है, या कोई हमलावर पहले से ही क्लाउड खाते को नियंत्रित कर सकता है।

यह चित्रण एक स्वस्थ दिखने वाले एंडपॉइंट को उसके पीछे के खाता जोखिम से अलग करता है।

Verizon की 2025 डेटा ब्रीच इन्वेस्टिगेशन्स रिपोर्ट पर Beyond Identity की चर्चा के अनुसार, संभावित कॉर्पोरेट क्रेडेंशियल वाले इन्फोस्टीलर द्वारा प्रभावित 46% सिस्टम गैर-प्रबंधित डिवाइस थे। यह निष्कर्ष उन प्रभावित प्रणालियों से संबंधित है, न कि सभी व्यक्तिगत डिवाइसों से, लेकिन यह प्रदर्शित करता है कि एंडपॉइंट स्वामित्व ही एक पर्याप्त एक्सेस सीमा क्यों नहीं है।

परिभाषित करें कि साइन-इन के बाद क्या होता है

एक पहचान-केंद्रित नीति को केवल प्रारंभिक नामांकन के लिए ही नहीं, बल्कि बदलते जोखिम के लिए भी नियमों की आवश्यकता होती है:

• जोखिम-आधारित पहुंच। निर्दिष्ट करें कि डिवाइस की स्थिति, स्थान या व्यवहार में बदलाव कब पुन: प्रमाणीकरण, प्रतिबंध या जांच को ट्रिगर करता है।
• संसाधन-स्तर की अनुमति। उपयोगकर्ताओं को केवल उस जानकारी तक सीमित रखें जिसकी उनकी भूमिकाओं के लिए आवश्यकता है, भले ही उनके डिवाइस अनुपालन को पूरा करते हों।
• सत्र दृश्यता और रद्दीकरण। प्रतिक्रियाकर्ताओं को सक्रिय सत्रों और टोकन को अमान्य करने का अधिकार दें, न कि केवल पासवर्ड रीसेट करने का।
• साझा-डिवाइस प्रतिबंध। कार्य सत्रों को साझा करने पर रोक लगाएं और परिभाषित करें कि क्या परिवार-साझा डिवाइस पात्र हैं।
• एक व्यावहारिक विकल्प। जब व्यक्तिगत हार्डवेयर पहुंच खो देता है, तो एक प्रबंधित लोन डिवाइस या एक उपयुक्त रूप से प्रतिबंधित ब्राउज़र मार्ग प्रदान करें।

मान लीजिए कि किसी सेल्स प्रतिनिधि का टैबलेट अनुपालन जांच पास कर लेता है, लेकिन परिवार का कोई सदस्य उसी खाते का उपयोग करता है। स्थान जांच उस स्थिति को नहीं पकड़ सकती है क्योंकि दोनों लोग घर पर हैं। अलग-अलग उपयोगकर्ता प्रोफ़ाइल, संवेदनशील कार्यों के लिए पुन: प्रमाणीकरण (reauthentication) और साझा कार्य सत्रों के खिलाफ नियम अधिक प्रासंगिक सुरक्षा उपाय प्रदान करते हैं।

कर्मचारी मार्गदर्शन का समर्थन करने के लिए, HR टीमें HR Management 365 से अकाउंट सुरक्षा लेख ब्राउज़ कर सकती हैं और प्रासंगिक विषयों को भूमिका-विशिष्ट ऑनबोर्डिंग सामग्री में बदल सकती हैं।

साथ में दिया गया वीडियो इन एक्सेस निर्णयों के बारे में टीम की चर्चा का समर्थन कर सकता है।

होटल, कैफे और घरेलू नेटवर्क से अनुमत एक्सेस को भी परिभाषित करें, जिसमें यह भी शामिल है कि किन संवेदनशील कार्यों के लिए नियंत्रित मार्ग की आवश्यकता है। BYOD एक पहचान और डेटा-एक्सेस निर्णय है, न कि केवल एक डिवाइस-स्वामित्व श्रेणी: यह तय करें कि कोई व्यक्तिगत डिवाइस किन व्यावसायिक संसाधनों तक सुरक्षित रूप से पहुँच सकता है।

खोए हुए, चोरी हुए और प्रस्थान करने वाले डिवाइस की प्रक्रिया

जब कोई डिवाइस गुम हो जाता है, तो कर्मचारियों को रिपोर्टिंग मार्ग की आवश्यकता होती है और रिस्पॉन्डर्स को एक अधिकृत क्रम की आवश्यकता होती है। किसी नियोजित प्रस्थान के लिए, कर्मचारी के सहमत अंतिम समय के आसपास उसी पहुँच-हटाने के कार्य को शेड्यूलिंग करें।

हेल्पडेस्क रिस्पॉन्स सीक्वेंस

1. कर्मचारी रिपोर्ट। एक सुलभ रिपोर्टिंग चैनल प्रदान करें जिसके लिए गुम हुए फ़ोन की आवश्यकता न हो। त्वरित रिपोर्टिंग की आवश्यकता रखें, और हेल्पडेस्क से रिकॉर्ड करवाएं कि गुमशुदगी कब देखी गई और रिपोर्ट की गई।
2. आइडेंटिटी एडमिनिस्ट्रेटर पहुँच रद्द करता है। प्रभावित सत्रों और टोकन को अमान्य करें, डिवाइस को ब्लॉक करें और जहाँ आवश्यक हो खाता निलंबित करें। किसी गुम हुए एंडपॉइंट और पूरे खाते के खतरे में पड़ने के बीच अंतर स्पष्ट रखें।
3. डिवाइस एडमिनिस्ट्रेटर हटाने की प्रक्रिया शुरू करता है। अधिकृत चयनात्मक-हटाने (selective-removal) का कमांड भेजें। संपूर्ण-डिवाइस पर प्रस्तावित किसी भी कार्रवाई को आवश्यक स्वीकृति और कर्मचारी अधिसूचना के लिए एस्केलेट करें।
4. हेल्पडेस्क परिणाम की पुष्टि करता है। प्रबंधन पावती (acknowledgments) की जाँच करें और पहुँच से इनकार की पुष्टि करें। यदि डिवाइस ऑफ़लाइन है, तो डेटा मिट जाने का दावा करने के बजाय हटाने की प्रक्रिया को लंबित के रूप में दर्ज करें।
5. IT प्रस्थान संबंधी कार्य पूरा करता है। एनरोलमेंट हटाएँ, डिवाइस प्रमाणपत्र रद्द करें और किसी भी साझा क्रेडेंशियल को बदलें जिसका प्रस्थान करने वाला कर्मचारी अभी भी उपयोग कर सकता है।
6. इंसिडेंट ओनर कार्रवाइयों को रिकॉर्ड करता है। निर्धारित प्रतिधारण (retention) नियमों के तहत टाइमस्टैम्प, स्वीकृतियाँ, कमांड परिणाम और अनसुलझे जोखिमों को सुरक्षित रखें।
7. प्राइवेसी या सिक्योरिटी समीक्षक विवादों को संभालता है। मूल रेस्पोंडर से अलग होकर गलत ब्लॉक या हटाने की समीक्षा करें, और पहुँच बहाल करने के अधिकृत मार्ग को दस्तावेज़ित करें।

परिचालन सुरक्षा: भेजा गया रिमोट कमांड, पूरा हुआ रिमोट कमांड नहीं होता है।

हेल्पडेस्क को इस अनुक्रम, नामित भूमिका स्वामियों, एस्केलेशन संपर्कों, अनुमोदन आवश्यकताओं और एक पूर्णता चेकलिस्ट वाला एक एक-पृष्ठ रनबुक दें। एक ऑफ़लाइन डिवाइस के साथ इसका परीक्षण करें ताकि प्रतिक्रियाकर्ता समझ सकें कि वे क्या सत्यापित कर सकते हैं और क्या अनिश्चित बना रहता है।

नीति लिखने से पहले अपना BYOD स्कोप चुनें

उस एक्सेस से शुरुआत करें जिसे आप अनुमति देना चाहते हैं, प्रतिबंधों से भरे टेम्पलेट से नहीं। शेड्यूल चेक करने वाले रिसेप्शनिस्ट और संवेदनशील रिकॉर्ड संभालने वाले एडमिनिस्ट्रेटर को अपने-आप समान अनुमतियां नहीं मिलनी चाहिए क्योंकि दोनों व्यक्तिगत फोन का उपयोग करते हैं।

दायरे (Scope) को स्पष्ट बनाएं

• योग्य हार्डवेयर की पहचान करें। उन डिवाइस श्रेणियों और समर्थित ऑपरेटिंग सिस्टमों का नाम बताएं जिनका IT मूल्यांकन और समर्थन कर सकता है।
• आवश्यक जानकारी को वर्गीकृत करें। प्रत्येक उपयोगकर्ता समूह को सार्वजनिक, आंतरिक, गोपनीय या विनियमित सामग्री के साथ मैप करें और पहचानें कि स्थानीय भंडारण कहाँ अस्वीकार्य है।
• प्रवर्तन को जानबूझकर चुनें। प्रत्येक समूह के सबसे संवेदनशील संसाधन पर न्यूनतम-आक्रामक-नियंत्रण नियम लागू करें।
• कर्मचारियों के अनुकूल शर्तें लिखें। स्वीकार्य उपयोग, निगरानी, लागत, सहायता और प्रस्थान दायित्वों को सरल भाषा में रखें।
• व्यापक रोलआउट से पहले व्यावहारिक घटनाओं का परीक्षण करें। व्यापक रोलआउट से पहले नामांकन, विफल अनुपालन, एक गुम हुए डिवाइस और एक कर्मचारी के प्रस्थान का परीक्षण करें।
• एक समीक्षा स्वामी नियुक्त करें। एक समीक्षा तिथि निर्धारित करें और अनुप्रयोगों, डिवाइस समर्थन या व्यावसायिक आवश्यकताओं में बदलाव होने पर पुनर्मूल्यांकन की आवश्यकता तय करें।

उपयोगकर्ताओं को नेटवर्क के साथ मैप करें

मल्टी-साइट संगठनों को कर्मचारियों, मेहमानों, छात्रों और निवासियों की पहुँच के बीच अंतर करने की भी आवश्यकता होती है। किसी स्कूल के विजिटर WiFi और उसके कर्मचारियों के एप्लिकेशन एक्सेस अलग-अलग उद्देश्यों को पूरा करते हैं, भले ही उन्हें एक ही एक्सेस पॉइंट ले जाते हों।

यह न मानें कि कोई नेटवर्क नाम यह साबित करता है कि इसका उपयोग कौन कर रहा है। रिकॉर्ड करें कि उपयोगकर्ता कैसे शामिल होते हैं, कौन सी पहचान जाँच लागू होती है और कौन से व्यावसायिक संसाधन पहुँच योग्य रहते हैं।

नीति का मसौदा तैयार करने से पहले, अपने तीन सबसे अधिक जोखिम वाले उपयोगकर्ता समूहों और प्रत्येक द्वारा उपयोग किए जाने वाले नेटवर्क की सूची बनाएं। प्रत्येक समूह के लिए आवश्यक संवेदनशील जानकारी और उस पहुँच को अनुमोदित करने के लिए जिम्मेदार व्यक्ति को जोड़ें। वह सूची आपका व्यावहारिक शुरुआती बिंदु है।

---

Purple Shield व्यक्तिगत डिवाइसों पर बिना एजेंट के गेस्ट और BYOD नेटवर्क के लिए सुरक्षात्मक DNS और कंटेंट फ़िल्टरिंग प्रदान करता है। ट्रायल का अनुरोध करने और अपने नेटवर्क, वेन्यू और उपयोगकर्ता समूहों को साझा करने के लिए Purple Shield पर जाएं ताकि एक Purple विशेषज्ञ आपके द्वारा संचालित प्रत्येक SSID के लिए एक पॉलिसी मैप प्रदान कर सके।