BYOD beleid opstellen: zo combineer je vrijheid met ICT-beveiliging
Veel medewerkers vinden het prettig om hun eigen vertrouwde smartphone, tablet of laptop te gebruiken voor het snel checken van werk-e-mails of het bewerken van documenten. Zonder duidelijke afspraken leidt dit zogeheten Bring Your Own Device al snel tot gevaarlijke situaties. Wanneer zakelijke documenten ongemerkt in privé-cloudopslag belanden of op onbeveiligde toestellen staan, ontstaat een groot risico op datalrekken.
In dit artikel leggen we uit hoe je een doordacht en juridisch houdbaar byod beleid opstelt waarmee je medewerkers de gewenste vrijheid biedt, terwijl de IT-beveiliging en bedrijfsdata optimaal beschermd blijven.
Wat is een BYOD beleid en waarom is het nodig?
Een byod beleid is een formeel document waarin een organisatie de regels, rechten en plichten vastlegt rondom het gebruik van persoonlijke apparatuur voor zakelijke doeleinden. Het vormt de brug tussen de behoefte aan flexibiliteit van de werknemer en de noodzaak tot databeveiliging van de werkgever.
Zonder een officieel beleid ontstaat er Shadow IT: medewerkers gebruiken op eigen houtje onbeveiligde privé-apparaten om bij bedrijfsgegevens te komen. Met een opgesteld beleid maak je dit proces beheersbaar en toetsbaar.
De voor- en nadelen van Bring Your Own Device
Het toestaan van eigen apparatuur kent duidelijke pluspunten, maar vraagt ook om een scherpe risico-afweging.
De voordelen
- Hogere tevredenheid: Medewerkers werken op apparatuur en besturingssystemen waar ze zelf de voorkeur aan geven.
- Minder hardware-investeringen: De organisatie hoeft in sommige gevallen minder fysieke apparaten aan te schaffen.
- Hogere mobiliteit: Personeel kan makkelijker en sneller plaatsonafhankelijk werken.
De nadelen en risico’s
- Verhoogd beveiligingsrisico: Privé-apparaten worden vaak ook gebruikt door gezinsleden of bevatten onveilige privé-apps.
- Privacy-uitdagingen: Het risico dat de werkgever onbedoeld inbreuk maakt op de privacy van de werknemer bij controle.
- Complexiteit voor IT: De IT-afdeling moet een grote diversiteit aan apparaten en besturingssystemen ondersteunen.
De 6 belangrijkste pijlers van een krachtig BYOD beleid
Bij het opstellen van het beleidsdocument moeten de volgende onderwerpen verplicht aan bod komen:
1. Minimale beveiligingseisen voor apparaten
Eis dat elk privé-toestel waarmee wordt ingelogd op het bedrijfsnetwerk beschikt over een actueel besturingssysteem, een verplichte schermvergrendeling (pincode of biometrie) en ingeschakelde schijfversleuteling.
2. Toegestane applicaties en datastromen
Leg exact vast welke zakelijke apps gebruikt mogen worden (zoals Microsoft Teams of Outlook) en verbied het opslaan van zakelijke bestanden in privé-cloudopslagdiensten zoals een persoonlijke Dropbox of iCloud.
3. Procedure bij verlies, diefstal of uitdiensttreding
Beschrijf helder wat een medewerker moet doen als het toestel kwijtraakt. Er moet een protocol zijn waarmee zakelijke accounts direct geblokkeerd worden en zakelijke data op afstand gewist kan worden.
4. Afspraken over vergoedingen
Bepaal of er een maandelijkse vergoeding tegenover het gebruik van de eigen apparatuur of de mobiele data-abonnementen staat.
5. Afbakening van ondersteuning (Support)
Maak duidelijk dat de interne IT-helpdesk verantwoordelijk is voor het ondersteunen van de zakelijke applicaties, maar niet voor het oplossen van privé-problemen met het apparaat.
6. Toestemming voor toegangsbeheer
De medewerker moet expliciet akkoord gaan met het toepassen van beveiligingsregels (zoals beveiligingscontainers) op het apparaat.
Technische oplossingen: Scheiding van werk en privé (MAM)
Een beleid op papier is pas effectief wanneer het technisch wordt afgedwongen. Om te voorkomen dat de werkgever het hele privé-toestel overneemt, wordt gebruikgemaakt van Mobile Application Management (MAM), zoals Microsoft Intune App Protection.
Hiermee wordt een virtuele, versleutelde container op het privé-toestel aangemaakt. Zakelijke data blijft binnen deze container opgeslagen. Het kopiëren van informatie uit een zakelijke e-mail naar een privé-app (zoals WhatsApp) wordt automatisch geblokkeerd.
AVG en privacy bij de invoering van BYOD
Onder de Algemene Verordening Gegevensbescherming (AVG) blijft de werkgever verantwoordelijk voor de bescherming van persoonsgegevens die door het bedrijf worden verwerkt. Dit geldt ook wanneer deze data op een privé-apparaat staat.
Belangrijk is dat het beleid de privacy van de werknemer waarborgt. De IT-afdeling mag via beheertools geen inzage hebben in privé-foto’s, chatberichten of persoonlijke apps. Bij het uitvoeren van een Selective Wipe (het wissen van bedrijfsdata op afstand) mogen uitsluitend de zakelijke gegevens worden verwijderd, terwijl de privé-bestanden intact blijven.
Veelgestelde vragen over een BYOD beleid
Het combineren van privé-hardware met zakelijke IT-beveiliging roept in de praktijk regelmatig vragen op bij zowel werkgevers als werknemers. Hieronder behandelen we de meest gestelde vragen.
Mag een werkgever een BYOD beleid verplicht stellen?
Een werkgever kan medewerkers niet verplichten om hun privé-apparaat voor werk te gebruiken. Kies je er als organisatie voor om BYOD aan te bieden, dan kun je deelname wel afhankelijk maken van het accepteren van het bijbehorende beveiligingsbeleid.
Wat is het verschil tussen BYOD, CYOD en COPE?
- BYOD (Bring Your Own Device): De medewerker gebruikt zijn eigen gekochte apparaat.
- CYOD (Choose Your Own Device): De medewerker kiest een apparaat uit een door het bedrijf geselecteerde lijst, maar het apparaat blijft eigendom van het bedrijf.
- COPE (Corporate-Owned, Personally Enabled): Het bedrijf koopt het apparaat, maar de medewerker mag het ook voor privédoeleinden gebruiken.
Wat gebeurt er met de data op het apparaat als een medewerker uit dienst treedt?
Met behulp van een Selective Wipe via het beheersysteem worden bij uitdiensttreding alleen de zakelijke apps, e-mailaccounts en bedrijfsdocumenten van het apparaat verwijderd. Alle persoonlijke foto’s, apps en bestanden blijven op het toestel staan.
Conclusie
Een doordacht byod beleid stelt organisaties in staat om de voordelen van flexibel en mobiel werken te benutten zonder in te boeten op databeveiliging. Door duidelijke afspraken te combineren met slimme technische oplossingen zoals Mobile Application Management (MAM), ontstaat een veilige balans tussen de privacy van de medewerker en het beheer van waardevolle bedrijfsinformatie.