‘BYOD heeft veel onzichtbare kanten’

Er is op dit moment een hoop te doen rondom bring your own device (byod). Met de opkomst van smartphones en tablets willen steeds meer werknemers zakelijk gebruik gaan maken van hun privéapparaten. Dit gaat echter niet zo maar en de overstap naar byod moet voor een organisatie dan ook een weloverwogen beslissing zijn.

Byod is een soort verschijnsel voor flexibele toegang tot bedrijfsapplicaties en data. Computable-expert Reza Sarshar, projectleider bij Ictivity, meent dat de realisatie van byod vaak onderschat wordt. Hierover gaat hij ook in discussie met andere Computable-experts. ‘Veel bedrijven overwegen de overstap naar byod en zijn niet bewust van veel onzichtbare aspecten van dit verschijnsel.’

Haalbaarheidsonderzoek

Volgens Sarshar moet je eerst goed gaan nadenken over wat je met byod wilt bereiken. ‘Stel een visie op en bepaal je verwachtingen en wat de resultaten in de toekomst zouden moeten zijn. Definieer daarna je aanpak, de benodigdheden en de investering. Houd dan een haalbaarheidsonderzoek om alles op de juistheid en volledigheid te toetsen.’

‘De investering in de realisatie van een byod-architectuur is niet gering. Kijk bij het opstellen van je aanpak naar je infrastructuur, applicaties, licenties, kennis van de ict-afdeling, beveiliging en nog veel andere zaken. Met een haalbaarheidsonderzoek kun je veel zaken te weten komen waarmee je de kans op de tegenslagen en desinvesteringen zeer klein kan maken.’

Hnw als basis voor byod

Bij byod neemt iedereen een apparaat mee, maar volgens Sarshar is het wel zaak dat je vooraf goed een inschatting maakt hoeveel productiviteit je hiermee kan bereiken. ‘Byod is de extensie van een flexibele desktopomgeving en maakt plaatsonafhankelijk werken mogelijk. Het nieuwe werken (hnw) is dan ook de basis van byod. Het gaat om het verwerken van informatie, iets dat we in drie niveaus kunnen onderverdelen. De eerste is een kortbondige actie, waarin je geïnformeerd wordt door bijvoorbeeld het lezen van mail op een smartphone.’

Het tweede niveau is volgens Sarshar een beperkte actie, waarin bijvoorbeeld beknopte informatie verschaft of verkregen wordt uit bedrijfsapplicaties, het beantwoorden van mail of het lezen van bijlagen op bijvoorbeeld je tablet. ‘Bij het derde niveau gaat het om het verstrekken van uitgebreide informatie of een volledige verwerkingsactie die gebaseerd is op een desktop of laptop, al dan niet virtueel. Byod zien we op het eerste en tweede niveau. Wijs werkpercentages toe aan deze vormen, beoordeel de productiviteit die je hierdoor creëert en neem dat mee in je business case.’

Verhogen productiviteit

‘De opkomst van byod is waarschijnlijk de meest radicale verschuiving in de hedendaagse netwerken van bedrijven en instellingen’, reageert Andre Noordam,systems engineering manager Nederland en Duitsland bij Fortinet, op Sarshar. ‘Vandaag de dag krijg je de vraag of het mogelijk is om met een eigen device te werken. Dit kan de productiviteit aanzienlijk verhogen, maar zorgt op het gebied van beveiliging van het netwerk en de data voor een uitdaging.’

Noordam ziet in grote lijnen twee manieren om de gevaren hiervan in te perken. Dat is beveiliging inregelen op het device en beveiliging verleggen naar het netwerk. ‘De eerste optie is in eerste instantie de meest eenvoudige. Groot nadeel hiervan is echter dat je als bedrijf of instelling een corporate policy moet gaan afdwingen op iets dat van de werknemer is. Technisch is dit geen uitdaging. Er zijn genoeg oplossingen beschikbaar op de markt, waarmee je dit kan inregelen.’

Lastig vraagstuk

Organisatorisch is het volgens Noordam een grotere uitdaging. ‘Als je als bedrijf een security policy afdwingt op een device, zal je hier bijvoorbeeld ook support naar de werknemer op moeten verlenen. Aangezien je een wildgroei aan devices kan verwachten, is dit eigenlijk ondoenlijk. Daarnaast staan de meeste werknemers niet open voor het feit dat een werkgever bepaalt wat iemand wel en niet kan doen met zijn eigen device. Denk aan een policy waarbij de werkgever een device blokkeert of eventueel alle data volledig op afstand kan verwijderen. Geen probleem met een bedrijfslaptop, maar een lastig vraagstuk met een eigen device.’

De andere aanpak, waarbij de security volledig of in ieder geval voor een heel groot deel vanuit het netwerk wordt geregeld, is volgens Noordam organisatorisch veel beter in te regelen. ‘Op basis van het type device, eventueel de status van het device en je ID zal je wel, geen of beperkt toegang moeten krijgen to het netwerk en de data. Of de connectie wordt opgezet via een vpn, lokale netwerkaansluiting of via een draadloos netwerk, moet niet uitmaken. Het inregelen van controlemaatregelen in het netwerk zorgt ervoor dat een organisatie schadelijke software of activiteiten vanaf mobiele apparaten kan blokkeren, voordat er schade kan optreden aan het netwerk.’

Wijzigen architectuur

Sarshar is het met Noordam eens en geeft aan dat je op verschillende punten binnen het concept de beveiliging moeten regelen. ‘Hiervoor moet je als ict-manager een visie hebben. Je moet bijvoorbeeld bij security niet alleen aan de end-point en conectivity denken, maar ook aan andere plekken binnen je netwerk zoals het dataverkeer. Hoe voorkom je dat een normaal ogende app van criminelen via je corporate app en vpn-connectie of lan-Wi-Fi de weg naar je interne data en informatie bewandelt? Nu is de volgende vraag: hoe ga je je applicaties en data beschikbaar stellen? Moet je hiervoor je architectuur wijzigen? De interface van je applicaties is niet geschikt en geschreven voor interactie via smartphones en tablets. Kijk maar hoeveel tijd je kwijt bent om een briefje op je tablet op te stellen en om de verschillende functies binnen Word met je vinger te bedienen.’

Als je je applicaties op mobile devices wilt aanbieden, dan moet je volgens Sarshar een laag aan je architectuur toevoegen. ‘Deze laag heet mobile enterprise application platform (MEAP) en zorgt voor het aanbieden van je applicatie in de juiste vorm op je smartphone en tablet. Naast MEAP heb je nog twee componenten nodig om byod verder te kunnen realiseren. Dit zijn mobile device management (mdm) en mobile application management (mam). Dan hebben we het nog niet over de benodigde componenten voor security gehad.’

Gewenste beleid

Expert Mart Groot, verkoopdirecteur bij mITE Systems, vraagt zich af hoe je het beste de it-infrastructuur in kan richten bij byod. ‘Momenteel is het bijna randvoorwaardelijk om als organisatie nagedacht te hebben over de inrichting van een omgeving die mobiel werken faciliteert en waarbij mensen, middelen en processen moeten worden afgestemd op een faciliterende rol in plaats van een voorschrijvende rol. Dit betekent dus dat er beleid moet zijn en middelen om de toegang tot en het delen van informatie mogelijk te maken. Hierbij kan it centraal nog steeds een controlerende rol vervullen en ingrijpen indien het gewenste beleid niet wordt gevolgd.’

Sarshar wijst er aansluitend op dat het beleid en de afspraken die tussen gebruikersorganisatie en ict-afdeling gemaakt zijn het fundament vormen voor de dienstverlening die gebruikersorganisatie terug mag verwachten. ‘Hiermee definieer je zaken waarmee je de verwachting van je organisatie kan managen.’

Mobiele strategie

Volgens expert Peter Groot, directeur marketing en business bij RAM Mobile Data, is byod geen vrije keuze, maar gebeurt het gewoon. ‘Je moet er dus op voorbereid zijn en erover nadenken. Sterker nog, je moet het een onderdeel maken van je it-strategie.’ Sarshar vult aan: ‘Het nieuwe werken maakt steeds meer ruimte voor zich vrij binnen bedrijven. Je bedrijf dient een mobiele strategie te hebben of de komende tijd te creëren. Binnen deze strategie kun je ook byod, dat als een onderdeel van hnw beschouwd kan worden, inpassen.’

Volgens Groot gaat byod over applicaties, veel meer dan over apparatuur. ‘Je moet dus zorgen voor een goede (mobile) application management-voorziening.’ Sarshar voegt daar graag aan toe :‘Er zijn verschillende manieren en oplossingen waarmee je dit kunt realiseren. Dat bespreek je in je MEAP, dat een onderdeel is van je mobiele strategie.’

Kleiner spanningsveld

‘Voor byod zul je op de apparaten een goed onderscheid moeten kunnen maken tussen privé data en zakelijke gegevens’, vervolgt Groot. ‘Je zult dus op het mobiele apparaat een omgeving, noem het een business space, moeten creëren, die hieraan recht doet.’ Sarshar bevestigt dit: ‘We zien dat steeds meer leveranciers met mam- en mdm-oplossingen komen die een ‘dual-persona’ op je device kunnen realiseren. Door deze ontwikkeling wordt het device van de gebruiker en wat er op geïnstalleerd is met rust gelaten. Het goede nieuws is dat hiermee het spanningsveld tussen it-afdeling en de gebruikersorganisatie veel kleiner wordt. De it-afdeling beheert alleen de kleine ruimte op het gebruikersdevice dat voor business is gecreëerd.’

Expert Edwin Beekman, mission critical engineer bij Schuberg Philis, vindt dat mdm een must is. ‘Wanneer een werknemer vertrekt of bij diefstal moet het apparaat op afstand direct gewiped kunnen worden.’ Sarshar is het hier enigszins mee eens. ‘ Met mdm alleen ben je er niet. Je moet van te voren goed nadenken over je architectuur en hoe je data en applicaties aanbiedt.’

Goed geëncrypte omgeving

Maar hoe zorg je dat het byod-apparaat de data veilig opslaat? Volgens expert Louis van de Wiele, mobile enterprise consultant bij Ciber Nederland, kunnen ook deze apparaten zijn ‘gehacked’. Sarshar heeft wel een oplossing. ‘Veilige toegang tot je data, caching (ja/nee/hoelang), encryptie en nog een aantal andere zaken kun je met producten waarmee je byod wil realiseren regelen. Als je bang bent dat deze apparaten gestolen of gehacked worden, dan zorg je voor een reeks maatregelen zoals een goed versleutelde omgeving op je device.’

Sarshar wijst erop dat je bijvoorbeeld met dual-persona van je mam of mdm-oplossing meer scheiding kunt maken tussen werk- en privéomgeving op je device. ‘Je creëert een managed corporate apps-omgeving die goed versleuteld is naast een unmanaged apps-omgeving. Je kunt ervoor kiezen dat de apps pas beschikbaar worden gesteld als een gebruiker zich in die versleutelde omgeving meldt. Nadat hij deze omgeving verlaat worden deze apps ‘teruggetrokken’. Door het toepassen van ‘mobile file syncing’ kun je de behoefte aan een oplossing als Dropbox elimineren. Hiermee heb je meer controle over je data en toegang hiertoe binnen je managed-app omgeving.’

Tools en cyod

Sarshar meent dat je voor een byod-puzzel verschillende oplossingen nodig hebt. ‘De oplossing waarvoor gekozen wordt dient zo compleet mogelijk te zijn zodat de consolidatie van beheertooling gerealiseerd wordt en beheer eenvoudiger wordt. Als je van verschillende oplossingen gebruikmaakt, dan is de kans groot dat deze oplossingen niet met elkaar kunnen communiceren. Je moet dus in de hele keten kijken. Denk bijvoorbeeld aan hoe een mam-oplossing met mdm, naast de apps die door je MEAP aangeboden worden, moet samenwerken.’

Binnen een ict-architectuur wordt volgens Sarshar vaak de benodigde kennis onderschat. ‘Om byod te kunnen realiseren moet je kennis en ervaring hebben met de componenten waarmee je byod gaat realiseren. Deze zaken moet je wel in je vooronderzoek meenemen. In dit onderzoek moet je ook bepalen of je voor byod of voor cyod (choose you own device) wilt gaan. Het is bijna hetzelfde, maar toch wezenlijk anders. Bij byod mag alles meegenomen worden, bij cyod geef je gebruikers bepaalde mogelijkheden als een bepaald product gebruikt wordt. Het concept erachter is hetzelfde, qua ondersteuning, tooling, producten en diensten is cyod beter te managen. Als je op het endpoint de security wilt verhogen, dan kan het een reden zijn om voor cyod te kiezen.’

Opstellen beleid en plan

Voordat je als bedrijf mobiele privéapparaten gaat ondersteunen, moeten er dus nogal wat stappen gemaakt worden. Volgens Sarshar valt of staat alles met het opstellen van beleid en een brede aanpak. ‘Als je kiest voor byod, denk dan eerst goed na over wat je verwacht van deze investering. Vervolgens verdiep je je in verschillende onderwerpen die met deze wijziging te maken krijgen zoals ict-zaken, beleid en organisatorische, juridische en financiële aspecten. Zet alles op papier en maak je business case compleet. Hiermee verhoog je de succesfactor in je project. Je bent er klaar voor, nu afwachten of je van de besluitvormers een ‘go’ krijgt.’