BYOD ऑनबोर्डिंग: कर्मचारी आणि अतिथी एक्सेस कसा सेट करावा

एक नवीन कर्मचारी वैयक्तिक फोन घेऊन येतो, एक कंत्राटदार जुन्या लॅपटॉपसह येतो आणि एका पाहुण्याला बैठक सुरू होण्यापूर्वी WiFi ची गरज असते. जर या तिघांनाही तोच शेअर केलेला पासवर्ड मिळाला, तर ॲक्सेस देणे सोपे होते पण नंतर त्यावर नियंत्रण ठेवणे कठीण जाते. BYOD ऑनबोर्डिंग अधिक चांगल्या प्रकारे कार्य करते जेव्हा तुम्ही प्रत्येक प्रकारच्या उपकरणासाठी मार्ग निवडता आणि नंतर जेव्हा कोणी ते एनरोल करू शकत नाही किंवा करत नाही तेव्हा काय करायचे याचे नियोजन करता.

महत्त्वाचा मुद्दा म्हणजे ऑनबोर्डिंगला जीवनचक्र (lifecycle) म्हणून पाहणे. साइन-इन पृष्ठ कोण कनेक्ट केले आहे याची नोंद ठेवू शकते, परंतु ते उपकरण सुरक्षित आहे हे स्थापित करत नाही, ते कशापर्यंत पोहोचू शकते हे ठरवत नाही किंवा त्याचा ॲक्सेस रद्द केला जाऊ शकतो याची खात्री करत नाही.

अनुक्रमणिका

• BYOD ऑनबोर्डिंग पद्धत निवडणे
  • अपवादापूर्वी डीफॉल्ट पर्याय निवडा
• कॅप्टिव्ह पोर्टल आणि SSO साइन-इन सेट करा
  • साइन-इन फ्लो तयार करा आणि त्याची चाचणी घ्या
• तुमच्या MDM द्वारे EAP-TLS प्रमाणपत्रे जारी करा
  • डिव्हाइस ट्रस्ट हा जोडणीचा भाग बनवा
• सामायिक डिव्हाइसेससाठी MDM-मुक्त ऑनबोर्डिंग आणि प्रति-डिव्हाइस की
  • निश्चित मालक असलेले पास किंवा की वापरा
• असमर्थित आणि अंशतः व्यवस्थापित डिव्हाइसेससाठी फॉलबॅक मार्ग
  • अपवाद मर्यादित आणि दस्तऐवजीकृत ठेवा
• सहमती, गोपनीयता आणि ऑफबोर्डिंग नियम
• मार्ग क्रमाची पुष्टी करा आणि प्रथम त्याचा पायलट टप्पा पूर्ण करा
  • लॉन्च करण्यापूर्वी पायलट मानके निश्चित करा

BYOD ऑनबोर्डिंग पद्धत निवडणे

पद्धत	आवश्यक डिव्हाइस मॅनेजमेंट	इश्यू केलेले क्रेडेंशियल	यासाठी सर्वोत्तम	मुख्य मर्यादा
SSO, Google, Apple, Facebook किंवा SMS सह कॅप्टिव्ह पोर्टल	काहीही नाही	नोंदवलेल्या संमतीसह ब्राऊझर सेशन	पाहुणे आणि अधूनमधून येणारे भेट देणारे	पोर्टल साइन-इन डिव्हाइस पोश्चर सिद्ध करत नाही
SCEP वर MDM-इश्यू केलेले EAP-TLS प्रमाणपत्र	Intune किंवा Jamf Pro सारखे एनरोल केलेले MDM	प्रति-डिव्हाइस प्रमाणपत्र	मॅनेज केलेले कर्मचारी फोन्स आणि लॅपटॉप्स	अनएनरोल केलेले वैयक्तिक डिव्हाइसेस जॉईन होऊ शकत नाहीत
MDM नसलेला ॲप-इंस्टॉल केलेला WiFi पास	इन्स्टॉलर ॲप, MDM नाही	प्रति-युझर किंवा प्रति-डिव्हाइस पास	स्वच्छता कर्मचारी, एजन्सी कर्मचारी, वैयक्तिक फोन्स	डिव्हाइस पोश्चरवर कमकुवत दृश्यमानता
प्रति-डिव्हाइस xPSK की	डिव्हाइसवर काहीही नाही	प्रति डिव्हाइस युनिक प्री-शेअर केलेली की	शेअर केलेले टिल्स, IoT, रहिवासी	की मॅनेजमेंट आणि रद्द करण्याच्या प्रक्रियेची गरज आहे
Passpoint किंवा OpenRoaming प्रोफाईल	डिव्हाइसवर इंस्टॉल केलेले प्रोफाईल	प्रमाणपत्र-आधारित ओळख	विविध ठिकाणांना पुन्हा भेट देणारे पाहुणे	केवळ Passpoint ला सपोर्ट करणारी डिव्हाइसेस

हे मार्ग विश्वासाचे विविध स्तर आणि वापरकर्त्यांच्या विविध अपेक्षा पूर्ण करतात. ब्राउझर पोर्टलमुळे गेस्ट ॲक्सेस सोपा राहतो, परंतु ते फोनची सुरक्षा स्थिती तपासू शकत नाही. सर्टिफिकेटमुळे मॅनेज केलेल्या उपकरणाला कनेक्शनच्या वेळी अधिक मजबूत ओळख मिळते, परंतु त्यासाठी एनरोलमेंट आवश्यक असते. जे डिव्हाइसेस MDM प्रोफाईल स्वीकारू शकत नाहीत, त्यांच्यासाठी पास किंवा युनिक की संपूर्ण साईटवर शेअर केलेल्या पासवर्डला पर्याय ठरते.

वैयक्तिक उपकरणे दैनंदिन कामात समाविष्ट झाल्यामुळे BYOD ही एक ॲक्सेस-कंट्रोल आवश्यकता बनली. ६०० यू.एस. IT आणि व्यवसाय नेत्यांच्या २०१२ मधील Cisco IBSG सर्वेक्षणात, ९५% लोकांनी सांगितले की त्यांच्या संस्था कर्मचाऱ्यांच्या मालकीच्या उपकरणांना काही स्वरूपात परवानगी देतात, आणि ८४% लोक वैयक्तिक उपकरणांना परवानगी देतात तसेच किमान काही सहाय्य देखील प्रदान करतात (Cisco चा २०१२ चा BYOD अभ्यास). तो फरक महत्त्वाचा आहे: एखाद्या उपकरणाला WiFi वर परवानगी देणे म्हणजे त्याला सहाय्य करणे, त्याला योग्य ॲक्सेस असाइन करणे किंवा त्याचे क्रेडेशिअल्स काढण्याची तयारी करणे असे नाही.

अपवादापूर्वी डीफॉल्ट निवडा

प्रत्येक डिव्हाइस वर्गाला एक डिफॉल्ट मार्ग नियुक्त करून प्रारंभ करा. व्यवस्थापित कर्मचारी डिव्हाइसेसनी प्रमाणपत्रे वापरली पाहिजेत; अतिथींनी पोर्टल वापरले पाहिजे; MDM नसलेल्या डिव्हाइसेसना सामायिक पासवर्डऐवजी ॲप-इन्स्टॉल केलेला पास किंवा युनिक की मिळावी. परत येणारे अतिथी त्यांच्या डिव्हाइसेस प्रोफाईलला सपोर्ट करत असल्यास Passpoint किंवा OpenRoaming साठी योग्य असू शकतात.

त्यानंतर तुमचे निवडलेले डीफॉल्ट अशा काही गोष्टीची मागणी तर करत नाही ना ते तपासा जे युझर देणार नाही, जसे की वैयक्तिक फोन मॅनेज करण्याची परवानगी. प्रत्येकासाठी डीफॉल्ट कमजोर करण्याऐवजी, फक्त त्या अपवादांनाच फॉलबॅक रूट्सवर पाठवा. एक WiFi अ‍ॅक्सेस कंट्रोल विहंगावलोकन टीम्सना ऑथेंटिकेशनला अ‍ॅक्सेस पॉलिसीशी मॅप करण्यात मदत करू शकते, परंतु तुमच्या डिव्हाइसच्या श्रेणी आणि नेटवर्क परवानग्यांनी अंतिम निवड निश्चित केली पाहिजे.

कॅप्टिव्ह पोर्टल आणि SSO साइन-इन सेट करा

कॅप्टिव्ह पोर्टल हा पाहुण्यांसाठी एक व्यावहारिक डीफॉल्ट पर्याय आहे कारण ते मॅनेजमेंट प्रोफाईल इंस्टॉल न करता साइन इन करू शकतात. संमती नोंदवताना किंवा अभ्यागतांना त्यांच्याकडे आधीपासून असलेल्या खात्याचा वापर करून ऑथेंटिकेट करण्याची अनुमती देताना देखील हे उपयुक्त ठरते. सर्वात महत्त्वाचा डिझाइन निर्णय हा आहे की साइन-इन केल्यानंतर पोर्टल प्रत्येक वापरकर्त्याला कुठे पाठवते: ऑथेंटिकेशनने वापरकर्त्याला योग्य नेटवर्कवर नेले पाहिजे, डीफॉल्टनुसार व्यापक ॲक्सेस देऊ नये.

साइन-इन प्रवाह तयार करा आणि त्याची चाचणी घ्या

1. नेटवर्क मॅप करा आणि पायलट साइट निवडा. डिझाइन सेशनमध्ये, ओपन, सुरक्षित आणि xPSK नेटवर्कवर ॲक्सेस पॉइंट्स, SSIDs, डायरेक्टरी ग्रुप्स आणि डिव्हाइस क्लासेस मॅप करा. नेटवर्क इंजिनिअरने टीमला एक प्लॅन आणि पायलट साइट देणे आवश्यक आहे, जेणेकरून कॉन्फिगरेशन हे काल्पनिक आकृतीऐवजी वास्तविक भौतिक मालमत्ता दर्शवेल.

2. एक आयडेंटिटी ॲप्लिकेशन रजिस्टर करा. Entra ID, Google Workspace, किंवा Okta मध्ये ॲप्लिकेशन सेट अप करा आणि साइन-इनसाठी आवश्यक डायरेक्टरी ॲक्सेस मंजूर करा. प्रथम पायलट रजिस्ट्रेशन वापरा, जेणेकरून तुम्ही रोलआउट वाढवण्यापूर्वी परवानग्या आणि लॉगिन अनुभवाची तपासणी करू शकाल.

3. कंट्रोलरमध्ये पोर्टल आणि RADIUS चे तपशील जोडा. RADIUS सर्व्हर आणि स्प्लॅश URL कॉन्फिगर करा. ॲप रजिस्ट्रेशन पूर्ण झाल्यावर, हे कंट्रोलर बदल समाविष्ट करून ग्राहक बाजूचे सेट अप 15 मिनिटांपेक्षा कमी वेळात होते.

4. प्रत्येक युझर गटासाठी साइन-इन पद्धती निवडा. संस्थात्मक ओळख आवश्यक असलेल्या कर्मचाऱ्यांसाठी SSO, वैयक्तिक खात्यांसाठी Google किंवा Apple आणि जिथे अभ्यागत अपेक्षा करतात तिथे Facebook वापरा. योग्य खाते नसलेल्या अभ्यागतांना SMS वन-टाइम पासकोडद्वारे दुसरा मार्ग उपलब्ध करून द्या.

5. पोर्टलचे ब्रँडिंग करा आणि संमती स्पष्ट ठेवा. संमती मजकूर सोप्या भाषेत लिहा आणि प्रत्येक साइन-इनसाठी नोंद ठेवा. सूचना युझरला स्वीकारण्यापूर्वी वाचता येईल अशा ठिकाणी ठेवा, दाबाव्या लागणाऱ्या बटणाच्या खाली नाही.

6. गेस्ट नेटवर्कवर प्रत्यक्ष उपकरणांची चाचणी घ्या. वैयक्तिक iPhone, Android फोन आणि Windows लॅपटॉप कनेक्ट करा. प्रत्येक युझर गेस्ट VLAN वर पोहोचतो याची आणि क्लायंट आयसोलेशनमुळे गेस्ट डिव्हाइसेस एकमेकांपर्यंत पोहोचू शकत नाहीत याची खात्री करा.

पायलट दरम्यान होणाऱ्या सामान्य चुका म्हणजे चुकीच्या कंट्रोलरकडे निर्देशित करणारा स्प्लॅश URL, साइन-इन बटणाच्या खाली लपवलेला संमती मजकूर आणि केवळ कॉर्पोरेट उपकरणांसह चाचणी करणे. यापैकी प्रत्येक घटकामुळे विशिष्ट मर्यादित चाचणीत पोर्टल यशस्वी असल्याचे दिसू शकते, परंतु ज्यांना त्याची गरज आहे त्यांच्यासाठी ते अपयशी ठरू शकते. Okta वापरणाऱ्या टीम्स आयडेंटिटी कनेक्शनचे नियोजन करताना Okta WiFi ऑथेंटिकेशन या मार्गदर्शिकेचे पुनरावलोकन देखील करू शकतात.

तुमच्या MDM द्वारे EAP-TLS प्रमाणपत्रे जारी करा

मॅनेज केलेल्या कर्मचाऱ्यांच्या डिव्हाइसेससाठी, प्रमाणपत्र-आधारित जॉईन हे सामायिक WiFi पासवर्डवर अवलंबून राहण्याऐवजी नेटवर्क अ‍ॅक्सेसला एनरोल केलेल्या डिव्हाइसशी जोडते. कनेक्शन दरम्यान डिव्हाइस आपली ओळख सिद्ध करते आणि युझरची ओळख हे ठरवू शकते की कोणते नेटवर्क परवानग्या लागू होतात. NIST कडून प्रॉव्हिजन केलेल्या प्रमाणपत्राचे वर्णन कनेक्शन पॉइंटवर मोबाइल डिव्हाइस ओळखण्याचा आणि प्रमाणीकृत करण्याचा एक मार्ग म्हणून केले जाते आणि त्यांनी नमूद केले आहे की युझर क्रेडेंशियलसह ते एकत्रित केल्याने टू-फॅक्टर ऑथेंटिकेशन मिळू शकते (NIST चे मोबाइल डिव्हाइस सुरक्षा मार्गदर्शन).

येथे स्केल ही क्वचितच समस्या असते. SCEP वर प्रमाणपत्रे वितरीत करण्यासाठी संपूर्ण संस्थेसाठी एकदा पाच ते दहा मिनिटे लागतात, त्यामुळे कटओव्हरच्या रात्री व्यवस्थापित लॅपटॉप आणि फोन त्यांचे प्रमाणपत्र MDM कडून प्राप्त करतात आणि आपोआप जोडले जातात. त्या प्रमाणपत्रावर विश्वास ठेवण्यापूर्वी डिव्हाइसने कोणते चेक्स उत्तीर्ण केले पाहिजेत हे ठरवणे हे अधिक कठीण काम आहे.

डिव्हाइस ट्रस्टला जोडणी प्रक्रियेचा भाग बनवा

1. वापरकर्त्याचे प्रमाणीकरण (Authenticate) करा. SSO किंवा दुसऱ्या मंजूर घटकासह सुरुवात करा, जेणेकरून नेटवर्क डिव्हाइसला ज्ञात व्यक्तीशी किंवा खात्याशी जोडेल.

2. नोंदणी (Enrolment) आणि स्थिती तपासा. डिव्हाइस नोंदणीकृत आहे आणि संस्थेच्या किमान OS आणि सुरक्षा आवश्यकता पूर्ण करते याची पुष्टी करा. वैयक्तिक मालकीचे डिव्हाइस या तपासण्या उत्तीर्ण करेपर्यंत ते अविश्वासू मानले पाहिजे.

3. डिव्हाइस-बाउंड प्रमाणपत्र जारी करा. SCEP वर प्रमाणपत्र वितरीत करण्यासाठी MDM वापरा. डिव्हाइस-बाउंड क्रेडेंशियल हे सामायिक गुपितापेक्षा अधिक व्यवस्थापनयोग्य असते कारण ते एका नोंदणीकृत एंडपॉइंटशी जोडले जाऊ शकते आणि इतर कशालाही स्पर्श न करता रद्द केले जाऊ शकते.

4. EAP-TLS वापरून कनेक्ट करा. संबंधित प्रमाणपत्रांचे सत्यापन करण्यासाठी क्लायंट आणि नेटवर्क कॉन्फिगर करा. त्यानंतर वापरकर्ता क्रेडेंशियल आणि डिव्हाइस प्रमाणपत्र कनेक्शनच्या वेळी स्वतंत्र ओळख तपासण्या प्रदान करतात.

5. समूहानुसार ॲक्सेस नियुक्त करा. डिरेक्टरी ग्रुप्सचे मॅपिंग सर्वात कमी-प्रिव्हिलेज VLANs शी करा, जेणेकरून कर्मचाऱ्याची भूमिका सेशन कशापर्यंत पोहोचू शकते हे निर्धारित करेल. यशस्वी प्रमाणीकरणाचा अर्थ आपोआप सर्व अंतर्गत सेवांचा ॲक्सेस असा होऊ नये.

6. अनुपालनाची सतत पुन्हा तपासणी करा. पॉलिसीचे मूल्यांकन केवळ सुरुवातीच्या नोंदणीपुरते मर्यादित ठेवू नका. डिव्हाइसच्या स्थितीचे पुनर्मूल्यांकन करा आणि जेव्हा डिव्हाइस यापुढे आवश्यकता पूर्ण करत नसेल, किंवा त्यामागील खाते निष्क्रिय केले जाईल तेव्हा ॲक्सेस काढून घ्या.

हेल्प-डेस्कच्या सामान्य कारणांमध्ये असमर्थित OS आवृत्त्या, मुदत संपलेली प्रमाणपत्रे, चुकीची सिस्टम वेळ, ट्रस्ट-चेन प्रमाणपत्रे गहाळ असणे, खाजगी MAC-ऍड्रेस रँडमायझेशन आणि वापरकर्त्यांनी व्यवस्थापन परवानग्या नाकारणे यांचा समावेश होतो. डिव्हाइस मॉडेल आणि OS आवृत्तीनुसार अपयशाचा मागोवा घ्या, कारण एकूणच निरोगी नोंदणी दर एका प्लॅटफॉर्मवरील वारंवार होणारे बिघाड लपवू शकतो.

• असमर्थित OS: मान्यताप्राप्त अपग्रेड पाथ ऑफर करा किंवा डिव्हाइस प्रतिबंधित ॲक्सेसवर निर्देशित करा.
• कालबाह्य झालेले सर्टिफिकेट: क्रेडेंशियल कालबाह्य झाल्यावर आउटेज टाळण्यासाठी नूतनीकरण वेळेवर स्वयंचलित करा.
• चुकीची वेळ किंवा ट्रस्ट साखळी गहाळ असणे: नेटवर्क पॉलिसी बदलण्यापूर्वी डिव्हाइसचे घड्याळ आणि सर्टिफिकेट इन्स्टॉलेशन तपासा.
• प्रायव्हेट MAC रँडमायझेशन: नेटवर्कची पॉलिसी स्थिर डिव्हाइस ॲड्रेसवर अवलंबून आहे का याची पुष्टी करा आणि प्लॅटफॉर्म-विशिष्ट सेटअप सूचना प्रदान करा.
• नाकारलेल्या व्यवस्थापन परवानग्या: व्यवस्थापन काय पाहू शकते हे स्पष्ट करा आणि व्यापक ॲक्सेस देण्याऐवजी फॉलबॅक मार्ग द्या.

अनुपालन बेसलाइन स्वतः सोपी राहते. डिव्हाइसेसना सुरक्षा अपडेट्स त्वरित आणि नियमित वेळेत मिळाले पाहिजेत, स्क्रीन लॉकिंग वापरले पाहिजे, केवळ अधिकृत स्त्रोतांकडून ॲप्स इंस्टॉल केले पाहिजेत आणि रूट किंवा जेलब्रोक केलेले असल्यास त्यांना जोडण्यापासून प्रतिबंधित केले पाहिजे. त्या पोस्टर चेक्समध्ये अयशस्वी ठरलेले डिव्हाइस कॉर्पोरेट नेटवर्कऐवजी, वेगळ्या, कमी-अधिकार असलेल्या नेटवर्कवर ठेवले पाहिजे.

जेव्हा तुम्ही संदर्भासह प्रमाणपत्र प्रवाह पाहू शकता तेव्हा ही मालिका समजणे सोपे होते. खालील व्हिडिओ ऑनबोर्डिंग टप्प्यांसाठी एक दृश्य मार्गदर्शक प्रदान करतो.

सामायिक उपकरणांसाठी MDM-मुक्त ऑनबोर्डिंग आणि प्रति-डिव्हाइस की

काही डिव्हाइसेस MDM एनरोलमेंट पूर्ण करू शकत नाहीत. यामध्ये असा वैयक्तिक फोन समाविष्ट आहे ज्याचा मालक मॅनेजमेंटची परवानगी देणार नाही, एक सामायिक टिल किंवा किओस्क, आणि योग्य एनरोलमेंट इंटरफेस नसलेला IoT सेन्सर. त्या सर्वांना कर्मचाऱ्यांच्या नेटवर्कवर ठेवणे हा यावरचा उपाय नाही. एक प्रतिबंधित रूट वापरा जो प्रत्येक डिव्हाइसला ओळखण्यायोग्य क्रेडेंशियल आणि एक स्पष्ट मालक प्रदान करतो.

निश्चित मालक असलेला पास किंवा की (key) वापरा

1. डिव्हाइस अनमॅनेज्ड किंवा असपोर्टेड असल्याची खात्री करा. ते प्रमाणपत्राचा मार्ग वापरू शकत नाही याची आणि त्याच्या मालकाची कोणत्याही इंस्टॉल ॲपला संमती आहे याची पडताळणी करा. यामुळे केवळ एनरोलमेंट गैरसोयीची आहे या एकाच कारणासाठी एखादा अपवाद डीफॉल्ट होण्यापासून वाचतो.

2. वैयक्तिक फोन्सना ॲप-इंस्टॉल केलेला WiFi पास द्या. युझर संपूर्ण फोन MDM मध्ये एनरोल न करता साइन इन करतो आणि पास इंस्टॉल करतो. मॅनेज्ड रोलआउटसाठी, वैयक्तिक फोन्स कटओव्हरच्या रात्री Purple ॲपवरून दोन टॅप्समध्ये WiFi पास इंस्टॉल करू शकतात.

3. प्रत्येक शेअर केलेल्या टर्मिनलला त्याची स्वतःची xPSK की द्या. टिल किंवा कियोस्कला त्याच्या स्वतःच्या VLAN वर ठेवा, ज्याची बँडविड्थ मर्यादा त्याच्या कामासाठी सुयोग्य असेल. युनिक की मुळे एकच पासवर्ड प्रत्येक टिलवर पसरत नाही.

4. की च्या कालावधीचा तिच्या वापराशी मेळ घाला. तो बुकिंग, कंत्राट किंवा शिफ्टच्या पॅटर्नशी सुसंगत असा ठेवा. एखादी व्यक्ती किंवा डिव्हाइसला ॲक्सेसची गरज संपल्यानंतर तात्पुरते क्रेडेंशियल उपयुक्त राहता कामा नये.

5. प्रत्येक की कोणाकडे आहे याची नोंद ठेवा. डिव्हाइस किंवा युझर मालकाला क्रेडेंशियलशी संबंधित ठेवा, जेणेकरून एखादे डिव्हाइस हरवल्यास किंवा कर्मचाऱ्याने नोकरी सोडल्यास सपोर्ट स्टाफ कोणता ॲक्सेस रद्द करायचा हे ओळखू शकेल.

6. की रद्द करा आणि परिणामाची चाचणी घ्या. नोकरी सोडताना ॲक्सेस काढून घ्या आणि डिव्हाइस नेटवर्कवरून डिस्कनेक्ट झाले असल्याची खात्री करा. रद्द करण्याची प्रक्रिया ही ऑनबोर्डिंग डिझाइनचा भाग आहे, एखादी समस्या उद्भवल्यानंतर शोधायचे काम नाही.

हे मार्ग प्रमाणपत्रापेक्षा डिव्हाइसच्या स्थितीची कमी दृश्यमानता देतात, त्यामुळे कर्मचाऱ्यांच्या VLAN ऐवजी त्यांना प्रतिबंधित नेटवर्कवर ठेवा. ऑपरेशनल तडजोड सोपी आहे: प्रति-डिव्हाइस की जारी करण्यासाठी आणि ट्रॅक करण्यासाठी अधिक काळजी घ्यावी लागते, परंतु ती तडजोड केलेल्या क्रेडेन्शियलची पोहोच मर्यादित करते.

असमर्थित आणि अंशतः व्यवस्थापित डिव्हाइसेससाठी फॉलबॅक मार्ग

"एनरोल करा किंवा ॲक्सेस गमवा" ही पॉलिसी प्रत्येक कर्मचाऱ्यासाठी लागू करण्यासाठीचे सहाय्य पुरेसे सुसंगत नाही. Verizon 2025 मोबाईल सुरक्षा अहवालात असे आढळून आले की सर्वेक्षण केलेल्या १५% संस्थांनी सर्व प्रकारच्या मोबाईल-उपकरणांसाठी पूर्ण सहाय्य दिले, तर ३२% संस्थांनी ॲड-हॉक सहाय्य दिले, २७% संस्थांनी फक्त नियुक्त मॉडेल्सना सहाय्य दिले आणि २३% संस्थांनी कोणतेही सहाय्य दिले नाही. या फरकाचा परिणाम जुनी उपकरणे वापरणारे लोक, कंत्राटदार, फ्रंटलाइन कर्मचारी आणि वैयक्तिक फोनच्या व्यापक देखरेखीस संमती न देणाऱ्या कर्मचाऱ्यांवर होतो.

डिव्हाइसची स्थिती	ऑनबोर्डिंग मार्ग	नेटवर्क ॲक्सेस	मंजुरी देण्यापूर्वी तपासणी
पूर्णपणे व्यवस्थापित, सपोर्टेड OS	EAP-TLS द्वारे MDM प्रमाणपत्र	डायरेक्टरी ग्रुपनुसार सुरक्षित नेटवर्क	अनुपालन स्थिती आणि प्रमाणपत्राची मुदत समाप्ती
वैयक्तिक फोन, कोणतेही व्यवस्थापन परवानगी नाही	कॅप्टिव्ह पोर्टल किंवा ॲप WiFi पास	क्लायंट आयसोलेशनसह गेस्ट VLAN	संमती नोंदवली, कॉर्पोरेट VLAN नाही
असमर्थित OS आवृत्ती	नामित ॲप्ससाठी केवळ ब्राउझर ॲक्सेस	वेगळे केलेले कमी-हक्क असलेले नेटवर्क	अपग्रेड तारीख आणि मंजूर ॲप सूची
सामायिक टिल किंवा कियोस्क	प्रति-डिव्हाइस xPSK की	बँडविड्थ मर्यादेसह स्वतःचे VLAN	की मालक आणि रद्द करण्याचा मार्ग
कंत्राटदार किंवा तात्पुरता कर्मचारी	वेळ-मर्यादित गेस्ट साइन-इन किंवा उसने दिलेले डिव्हाइस	गेस्ट VLAN, कंत्राट संपल्यावर मुदत संपणारे	कंत्राट समाप्ती तारीख आणि नामनिर्देशित प्रायोजक
ॲक्सेसिबिलिटी किंवा जुने-डिव्हाइस अपील	उसने दिलेल्या डिव्हाइससह मॅन्युअल पुनरावलोकन	मंजूर ॲप्सपुरते मर्यादित	पुनरावलोकन तारीख आणि नामनिर्देशित मालक

अपवाद मर्यादित आणि दस्तऐवजीकरण केलेला ठेवा

प्रत्येक डिव्हाइसला काम पूर्ण करण्यासाठी आवश्यक तितकाच किमान ॲक्सेस द्या. नामांकित सेवेसाठी फक्त ब्राउझर ॲक्सेस आवश्यक असलेल्या वैयक्तिक फोनला अंतर्गत ॲप्लिकेशन्स किंवा कॉर्पोरेट VLAN च्या मार्गाची आवश्यकता नसते. सामायिक केलेल्या टिलला त्याच्या नियुक्त केलेल्या सेवांची आवश्यकता असते आणि त्याच्या क्रेडेन्शियलला नामनिर्देशित मालक आणि रद्द करण्याचा मार्ग आवश्यक असतो.

डिव्हाइस-कॉम्पॅटिबिलिटी मॅट्रिक्स प्रकाशित करा जेणेकरून कर्मचाऱ्यांना साईटवर येण्यापूर्वी त्यांची OS आणि डिव्हाइस एनरोल होऊ शकते की नाही हे तपासता येईल. सपोर्ट नसलेल्या ऑपरेटिंग सिस्टिम्स आणि ॲप्लिकेशन्सची यादी ठेवा आणि प्रत्येकाला कोणता फॉलबॅक मार्ग लागू होतो याची नोंद ठेवा. कंत्राटदार आणि अभ्यागतांसाठी, वेळ-मर्यादित नेटवर्क मार्ग एक्सपायरी आणि स्पॉन्सरशिप स्पष्ट करण्यास मदत करतो.

एखादा कठोर नियम कर्मचाऱ्यांना वैयक्तिक हॉटस्पॉट, शेअर केलेले पासवर्ड किंवा इतर अनमॅनेज्ड पर्यायांकडे वळवत असल्यास तो सुरक्षिततेला अधिक खराब करू शकतो. पर्याय न देता ॲक्सेस नाकारण्यापेक्षा प्रतिबंधित आणि दस्तऐवजीकरण केलेला मार्ग अनेकदा सुरक्षित असतो.

संमती, गोपनीयता आणि ऑफबोर्डिंग नियम

"मी BYOD नाकारू शकतो का, आणि माझा नियोक्ता नेमके काय पाहू शकेल किंवा मिटवू शकेल?" कर्मचाऱ्याला प्रोफाईल स्वीकारण्यास किंवा ॲप इंस्टॉल करण्यास सांगण्यापूर्वी ऑनबोर्डिंग सूचनेमध्ये उत्तर द्या. तांत्रिक ऑथेंटिकेशन हे दाखवत नाही की कोणी अटी समजून घेतल्या आहेत किंवा निवडण्यास मोकळे वाटले आहे.

काळजी-क्षेत्रातील (केअर-सेक्टर) एका सर्वेक्षणात, 50% प्रदात्यांनी BYOD चा वापर केला, परंतु त्यापैकी केवळ अर्ध्या लोकांकडेच BYOD धोरण होते; वैयक्तिक डिव्हाइसेस वापरणाऱ्या केवळ 40% कर्मचाऱ्यांना कोणत्याही धोरणावर किंवा मार्गदर्शक तत्त्वांवर स्वाक्षरी केल्याचे आठवले. 2025 च्या एका वेगळ्या सर्वेक्षणात असे आढळून आले की 70% कर्मचाऱ्यांनी संस्थेने दिलेल्या डिव्हाइसेसना प्राधान्य दिले (2025 अडल्ट सोशल केअर BYOD अहवाल). हे निष्कर्ष या गृहितकाला आव्हान देतात की वैयक्तिक-डिव्हाइस अ‍ॅक्सेस हा कर्मचाऱ्यांसाठी आपोआप स्वस्त किंवा अधिक सोयीस्कर असतो.

सूचना सोप्या भाषेत पुढीलप्रमाणे असावी:

• कोणती सुरक्षा टेलिमेट्री गोळा केली जाते, आणि संस्था कोणती वैयक्तिक सामग्री पाहू शकत नाही.
• काय हटवले जाऊ शकते, यामध्ये वर्क प्रोफाईल हटवल्याने वैयक्तिक सामग्री मिटणार नाही याची पुष्टी समाविष्ट आहे.
• कामाशी संबंधित मोबाइल डेटा आणि डिव्हाइसच्या घसरणीसाठी (वेअर) कोण पैसे देते, संबंधित देशासाठी परतफेडीच्या नियमांसह.
• पर्याय काय आहे जर कर्मचाऱ्याने वैयक्तिक-डिव्हाइस मॅनेजमेंट नाकारले.

सहभाग प्रभावीपणे अनिवार्य असल्यास चेकबॉक्स हा अर्थपूर्ण संमती ठरणार नाही. लोन डिव्हाइस किंवा अन्य अ‍ॅक्सेस रूट ऑफर करा, आणि मॉनिटरिंग किंवा डेटा वापरामध्ये बदल झाल्यास पुन्हा संमती मागा. व्हिजिटर चेक-इन प्रक्रियांसाठी, टीम्स कोणती ओळख माहिती आवश्यक आहे आणि ती कशी हाताळली जावी याचा विचार करण्यासाठी प्रॉम्ट म्हणून चेक-इन करण्यापूर्वी पाहुण्यांचे आयडी सत्यापित करा मार्गदर्शनाचा वापर करू शकतात.

ऑफबोर्डिंगने प्रमाणपत्र, व्यवस्थापन प्रोफाईल, कॅश केलेले टोकन आणि डिव्हाइसशी संबंधित कोणतीही xPSK की काढून टाकली पाहिजे. एक Purple Access डेमो इंजिनियरला एका अपार्टमेंटचे डिव्हाइसेस वापरून थेट नेटवर्कवर की जारी करताना आणि रद्द करताना दाखवू शकतो: एक लॉक, एक थर्मोस्टॅट, अतिथीचा लॅपटॉप आणि क्लायंटच्या कर्मचाऱ्याचा फोन.

1. लाइव्ह डिव्हाइसवर की इश्यू करा.
2. ती रद्द करा.
3. ॲक्सेस थांबण्यासाठी किती वेळ लागतो याची नोंद घ्या.
4. पायलटचा रिव्होकेशन पास मार्क म्हणून या निकालाची नोंद करा.

मार्गाच्या क्रमाची पुष्टी करा आणि आधी त्याचे पायलट रन करा

अपवाद पूर्ण नेटवर्कची व्याख्या करण्यापासून रोखणाऱ्या क्रमाने मार्ग (routes) लागू करा. प्रत्येक डिव्हाइस क्लासला एक डीफॉल्ट मिळतो, तर पायलट हे सत्यापित करतो की मार्ग प्रत्यक्ष साइटवरील ओळख (identities), नियंत्रक (controllers) आणि उपकरणांसह यशस्वीपणे कार्य करतो.

1. EAP-TLS वरील व्यवस्थापित कर्मचारी उपकरणांपासून सुरुवात करा. एनरोल केलेल्या लॅपटॉप आणि फोनसाठी सर्टिफिकेट रूट वापरा, ज्याचा ॲक्सेस डिरेक्टरी ग्रुप्स आणि तपासलेल्या रिव्होकेशन पाथशी जोडलेला असेल.

2. गेस्ट पोर्टल जोडा. साइन-इन अनुभव स्पष्ट ठेवा आणि प्रत्येक गेस्ट सत्रावर सहमतीची नोंद घ्या.

3. वैयक्तिक आणि अव्यवस्थापित कर्मचारी फोन WiFi पासवर हलवा. यामुळे वापरकर्त्यांना असा मार्ग मिळतो ज्यासाठी पूर्ण डिव्हाइस एनरोलमेंटची आवश्यकता नसते.

4. शेअर केलेले टिल्स, किओस्क आणि IoT उपकरणे युनिक xPSK की वर ठेवा. प्रत्येक डिव्हाइसला त्याच्या स्वतःच्या ॲक्सेस पॉलिसीनुसार असाइन करा आणि त्याच्या क्रेडेंशियलची मालकी कोणाकडे आहे याची नोंद घ्या.

5. फॉलबॅक रूट्स फक्त अपवादांसाठी लागू करा. जिथे डीफॉल्ट रूट शक्य नसेल तिथे ब्राऊजर-ओन्ली ॲक्सेस, गेस्ट किंवा कॉन्ट्रॅक्टर नेटवर्क, लोन डिव्हाइस किंवा मॅन्युअल रिव्ह्यू वापरा.

लाँच करण्यापूर्वी पायलट निकष निर्धारित करा

कोणीही एनरोलमेंट सुरू करण्यापूर्वी एक पायलट साईट निवडा आणि उत्तीर्ण होण्याचे निकष निश्चित करा. एनरोलमेंट पूर्ण होण्याचे प्रमाण, पहिले यशस्वी ऑथेंटिकेशन, दर 100 एनरोलमेंट्समागे हेल्प-डेस्क संपर्क आणि ॲक्सेस रद्द करण्यासाठी लागणारा वेळ मोजा. जर तुम्ही पायलट नंतर थ्रेशोल्ड सेट केले, तर साईट आधीच लाईव्ह झाल्यामुळे कमकुवत निकाल देखील स्वीकारार्ह मानणे सोपे होते.

डिझाइन सेशन बुक करा आणि तुमची SSID लिस्ट, ॲक्सेस पॉइंट व्हेंडर, डिरेक्टरी आणि MDM सोबत आणा. नेटवर्क इंजिनिअर रोलआउटपूर्वी खुल्या, सुरक्षित आणि xPSK नेटवर्कवर या तपशिलांचे मॅपिंग करू शकतात आणि पायलट साईटवर योजनेची पडताळणी करू शकतात. डेमो विनंतीद्वारे संस्थेचे आणि संपर्काचे तपशील, तसेच SSIDs, ॲक्सेस पॉइंट व्हेंडर, डिरेक्टरी आणि MDM सह ग्राहकाच्या WiFi वर सध्या काय चालत आहे याची माहिती गोळा केली जाते.

---

Purple Access कॅप्टिव्ह-पोर्टल साइन-इन आणि संमती, MDM द्वारे EAP-TLS प्रमाणपत्रे आणि अव्यवस्थापित उपकरणांसाठी प्रति-डिव्हाइस की ला सपोर्ट करते. प्रात्यक्षिक आयोजित करण्यासाठी आणि डिझाइन सत्रामध्ये तुमचे डिव्हाइस आणि नेटवर्क तपशील आणण्यासाठी Purple Access ला भेट द्या.