وقتی سازمان میخواهد محیط کاری کارکنان را نوسازی کند، دو پرسش همزمان مطرح میشود: هر کاربر برای انجام کار خود به چه محیطی نیاز دارد و دسترسی او به برنامهها و اطلاعات چگونه کنترل شود؟ Digital Workspace و Secure Workspace به این دو پرسش مرتبط میپردازند.
Digital Workspace یا فضای کاری دیجیتال، بر تناسب ابزارها و محیط کار با نیاز کاربران تمرکز دارد؛ Secure Workspace یا فضای کاری امن، بر شرایط دسترسی و حفاظت از منابع تأکید میکند. این دو رویکرد در مدیریت دستگاه، هویت و برنامهها همپوشانی دارند و میتوانند در یک معماری کنار هم قرار بگیرند.
در این مقاله، تفاوتها با توجه به کاربرد این عنوانها در راهکارهای بهین تکنولوژی توضیح داده میشوند. هنگام مقایسه پیشنهادهای تأمینکنندگان نیز باید دامنه واقعی قابلیتها را بررسی کرد؛ نام راهکار بهتنهایی جزئیات فنی آن را مشخص نمیکند.
Digital Workspace چیست و چه مسئلهای را حل میکند؟
فضای کاری دیجیتال، محیطی است که کاربر از طریق آن به برنامهها، دادهها و ابزارهای لازم برای انجام وظایفش دسترسی دارد. طراحی این محیط از نقش کاربر و بار کاری یا Workload شروع میشود؛ یعنی نوع و حجم عملیاتی که باید انجام دهد.
برای یک کارشناس اداری، اجرای نرمافزار سازمانی و کارکرد چاپگر مهم است؛ برای کاربر طراحی، توان پردازش و سازگاری نرمافزار تخصصی نیز تعیینکننده است. محیط مناسب باید این تفاوتها را پوشش دهد و برای تیم IT قابل مدیریت و پشتیبانی باشد.
در راهکار Digital Workspace بهین تکنولوژی، محیط کاری میتواند فیزیکی، مجازی یا ترکیبی باشد. بنابراین اجرای این رویکرد الزاماً به معنی انتقال همه کاربران به دسکتاپ مجازی یا خرید دستگاه یکسان برای تمام واحدها نیست.
Secure Workspace چیست و چه چیزی را کنترل میکند؟
فضای کاری امن، دسترسی به منابع سازمانی را بر اساس هویت، نقش کاربر، وضعیت دستگاه و سیاستهای سازمان کنترل میکند. در اینجا پرسش اصلی این است که چه کسی، با چه شرایطی و برای انجام کدام وظیفه مجاز به استفاده از یک منبع است.
برای مثال، ورود موفق به حساب کاربری نباید به معنی دسترسی به تمام اسناد واحد مالی باشد. مشاهده گزارش، ویرایش اطلاعات و خروجیگرفتن از سامانه میتوانند مجوزهای متفاوتی داشته باشند؛ اعمال آنها به قابلیتهای سامانه و طراحی دسترسی وابسته است.
ارتباط فضای کاری امن با Zero Trust
در معماری اعتماد صفر یا Zero Trust، حضور داخل شبکه یا مالکیت سازمان بر دستگاه، بهتنهایی مبنای اعتماد نیست. هویت و مجوز دسترسی باید ارزیابی شوند. این اصل در سند معماری Zero Trust مؤسسه NIST توضیح داده شده است.
احراز هویت صریح، حداقل دسترسی لازم و طراحی با فرض امکان نفوذ، سه اصل مطرحشده در راهنمای Zero Trust مایکروسافت هستند. این اصول جهت طراحی کنترلها را مشخص میکنند؛ درج عبارت Zero Trust در نام یک محصول، جای بررسی پیادهسازی را نمیگیرد.
برای شناخت بیشتر نقش دستگاه کاربر در این زنجیره، مقاله امنیت و مدیریت Endpoint را بخوانید. Endpoint یا نقطه پایانی، دستگاهی است که کاربر از طریق آن به محیط سازمان دسترسی پیدا میکند.
جدول تفاوت Digital Workspace و Secure Workspace
جدول زیر تفاوت در تأکید و پرسشهای طراحی را نشان میدهد. امنیت در فضای کاری دیجیتال و تجربه کاربری در فضای کاری امن نیز باید در نظر گرفته شوند.
| محور بررسی | Digital Workspace | Secure Workspace |
|---|---|---|
| پرسش محوری | کاربر چگونه ابزار و محیط مناسب کارش را دریافت کند؟ | دسترسی کاربر و دستگاه تحت چه شرایطی مجاز باشد؟ |
| نقطه شروع | نقش کاربر، برنامهها، بار کاری و محل فعالیت | حساسیت منابع، نقشها، وضعیت دستگاه و ریسک دسترسی |
| تصمیمهای نمونه | محل اجرای برنامه، نوع محیط کاری و روش مدیریت | سطح مجوز، شرایط ورود و کنترل انتقال داده |
| بخشهای مشترک | دستگاه، برنامه، هویت، تنظیمات و پشتیبانی | همان اجزا با تمرکز بر سیاست و کنترل دسترسی |
| معیارهای ارزیابی پیشنهادی | زمان آمادهسازی محیط، کارکرد برنامه و زمان رفع مشکل | صحت مجوزها، لغو دسترسی و اجرای سیاستها |
| خروجی مورد انتظار | محیط کاری متناسب، قابل استفاده و قابل مدیریت | استفاده کنترلشده از منابع با امکان پایش و رسیدگی |
این معیارها چارچوب پیشنهادی ارزیابیاند. مقدار هدف و روش اندازهگیری باید متناسب با فرایندهای هر سازمان تعیین شوند.
محیط فیزیکی، VDI و مدل ترکیبی چه جایگاهی دارند؟
مدل ارائه محیط کاری مشخص میکند برنامهها کجا اجرا شوند و کاربر چگونه به آنها دسترسی بگیرد. کنترل امنیت باید در هر مدل، متناسب با مسیر واقعی استفاده طراحی شود.
رایانه فیزیکی مدیریتشده
در این مدل، برنامه یا بخشی از پردازش روی دستگاه کاربر اجرا میشود و سازمان تنظیمات، نرمافزارها و سیاستهای مرتبط را مدیریت میکند. نیاز به پردازش محلی یا وسیله جانبی خاص میتواند در انتخاب این مدل اثر بگذارد.
باید مشخص باشد چه دادهای روی دستگاه باقی میماند، بهروزرسانی چگونه انجام میشود و هنگام خرابی یا خروج کاربر از سازمان چه اقدامی لازم است. امکان مدیریت متمرکز نیز باید با ابزار و سیستمعامل انتخابی تطبیق داده شود.
دسکتاپ مجازی یا VDI
در زیرساخت دسکتاپ مجازی، دسکتاپ کاربر در محیط میزبانی اجرا میشود و دستگاه او امکان اتصال و تعامل را فراهم میکند. این معماری میتواند مدیریت محیطهای کاری را متمرکزتر کند؛ در مقابل، ظرفیت میزبان، کیفیت ارتباط و سازگاری تجهیزات جانبی باید بررسی شوند.
انتقال دسکتاپ به مرکز، همه مسیرهای خروج داده را مسدود نمیکند. برای مثال، چاپ، انتقال فایل یا دسترسی به حافظه جانبی باید بر اساس قابلیتهای بستر و سیاست سازمان تنظیم و آزموده شوند. امنیت به کل مسیر کاربر تا برنامه و داده وابسته است.
فضای کاری ترکیبی
ممکن است بخشی از کاربران با رایانه مدیریتشده و گروهی دیگر با دسکتاپ مجازی کار کنند. در چنین محیطی، سیاست دسترسی باید برای هر مسیر اجرا شود و تفاوت مدلها باعث ایجاد حساب یا دستگاه بدون مسئول نشود.
یکپارچگی تجربه کاربر نیز به معنی یکسانبودن تمام تجهیزات نیست؛ هدف این است که هر فرد بتواند کار خود را با روش قابل پشتیبانی و سیاست روشن انجام دهد.
اجرای محلی و میزبانیشده در کنار هم؛ با سیاست دسترسی مشخص برای هر مسیر.
یک مثال سازمانی؛ واحد مالی و شعب
یک سازمان فرضی را در نظر بگیرید که واحد مالی آن در دفتر مرکزی مستقر است و کارکنان شعب، اطلاعات روزانه را در سامانه ثبت میکنند. این مثال آموزشی است و گزارش پروژه اجراشده بهین تکنولوژی نیست.
از زاویه فضای کاری دیجیتال، باید بررسی شود کاربران شعب چگونه فرمها را ثبت و رسیدها را چاپ میکنند، کارشناسان مالی چه گزارشهایی میگیرند و هر گروه به چه منابعی نیاز دارد. نتیجه بررسی ممکن است برای گروههای مختلف، مدلهای متفاوتی از محیط کاری باشد.
از زاویه فضای کاری امن، باید مشخص شود کاربر شعبه کدام اطلاعات را میبیند، چه کسی مجاز به اصلاح سند است و تغییر سمت یا قطع همکاری چگونه در مجوزها منعکس میشود. مجوزهای دسترسی باید با مسئول فرایند مالی هماهنگ باشند.
در آزمون نمونه، دو نتیجه را کنار هم بررسی میکنیم: کاربر مجاز بتواند عملیات ضروری را کامل انجام دهد و همان کاربر به اطلاعات خارج از نقش خود دسترسی نداشته باشد. موفقیت در یکی از این دو آزمون، کافی نیست.
نقش تینکلاینت و زیروکلاینت در انتخاب راهکار
تینکلاینت و زیروکلاینت میتوانند در سناریوهای متناسب، نقطه دسترسی کاربر به محیط میزبانیشده باشند. انتخاب آنها باید پس از تعیین بستر، روش اتصال، نیاز نمایشگرها، تجهیزات جانبی و شیوه مدیریت انجام شود.
نام «زیروکلاینت» بهتنهایی سازگاری با هر بستر یا نبود همه ریسکهای امنیتی را اثبات نمیکند. پروتکلهای پشتیبانیشده، امکانات مدیریتی و وضعیت پشتیبانی هر مدل باید از مستندات همان محصول بررسی شود. تینکلاینت نیز بر اساس سیستمعامل و قابلیتهایش به تنظیم و نگهداری مناسب نیاز دارد.
در انتخاب تجهیزات UNIVO، معیار عملی این است که دستگاه با معماری مصوب و وظیفه کاربر سازگار باشد. قابلیتهای سختافزار باید همراه با تنظیمات نرمافزار، هویت و کنترل دسترسی ارزیابی شوند.
برای سازمان خود از کجا شروع کنیم؟
یک گروه کاربری مشخص انتخاب کنید و نیازهای کاری و کنترلهای دسترسی آن را کنار هم بنویسید. برای شروع، این پرسشها مفیدند:
کاربر باید با کدام برنامهها و تجهیزات جانبی کار کند؟
برنامه و داده کجا قرار دارند و ارتباط چه محدودیتی دارد؟
چه دادهای حساس است و هر نقش چه مجوزی لازم دارد؟
مدیریت دستگاه و تغییر دسترسی بر عهده چه کسی است؟
هنگام خرابی یا قطع ارتباط، کدام فعالیت باید ادامه پیدا کند؟
موفقیت عملکرد و صحت کنترل دسترسی چگونه آزموده میشوند؟
برای تبدیل پاسخها به ورودی قابل استفاده در طراحی، از چکلیست نیازسنجی زیرساخت IT استفاده کنید. سپس یک اجرای محدود را با کاربران نماینده و معیارهای پذیرش روشن ارزیابی کنید.
ترکیب مناسب فضای کاری، از نیاز عملیاتی و حساسیت منابع سازمان به دست میآید. برای بررسی رویکرد بهین به مدیریت هویت، دستگاه و دسترسی به برنامهها، صفحه راهکار Secure Workspace را ببینید.
پرسشهای متداول
آیا Secure Workspace فقط برای دورکاری کاربرد دارد؟
خیر. کارکنان داخل دفتر، کاربران شعب و نیروهای دورکار همگی به سطح دسترسی متناسب با نقش خود نیاز دارند. محل حضور یکی از شرایط قابل بررسی است و جای سیاست دسترسی را نمیگیرد.
آیا برای فضای کاری دیجیتال، اینترنت دائمی لازم است؟
به محل اجرای برنامه و وابستگیهای آن بستگی دارد. یک سرویس داخلی ممکن است از شبکه سازمان استفاده کند، اما سرویس بیرونی به ارتباط مناسب نیاز دارد. امکان کار آفلاین باید برای هر برنامه جداگانه بررسی شود.
آیا فضای کاری امن همان جداسازی اینترنت و اینترانت است؟
خیر. جداسازی میتواند یکی از کنترلهای یک سناریوی مشخص باشد. مدیریت هویت، مجوزها، دستگاهها و دسترسی به داده همچنان باید طراحی شود و دامنه حفاظت هر روش روشن باشد.
آیا دو پروژه مستقل برای این دو راهکار لازم است؟
لزوماً خیر. میتوان نیازهای محیط کاری و امنیت را در یک پروژه تعریف و مرحلهای اجرا کرد. دامنه خدمات، مسئولیت تیمها و آزمونهای پذیرش باید در پیشنهاد فنی مشخص باشند.