Что скрывается за понятиями BYOD, CYOD, COPE

«BYOD или не BYOD?» — этим вопросом задается все большее число предприятий. Сокращение от фразы Bring Your Own Device — «принеси свое устройство» — можно уже считать общеизвестным, но в отделах ИТ периодически упоминаются и другие аббревиатуры, такие как CYOD или COPE. Что скрывается за этими очень похожими терминами, вызывающими путаницу?

Изначально ситуация казалась выигрышной во всех отношениях: концепция BYOD позволяет предприятиям значительно сократить расходы на приобретение смартфонов и планшетных ПК, а их сотрудникам — пользоваться теми устройствами, которые им действительно нравятся. Однако очень скоро стало понятно, что есть много вопросов, на которые не так-то просто найти ответ. Кто будет заниматься настройкой устройств, контролем за тем, что на них происходит, и технической поддержкой? Как обстоят дела с обеспечением безопасности? Что произойдет с сохраненной корпоративной информацией, когда сотрудник покинет предприятие?

Помимо BYOD, со временем сформировались другие концепции и бесчисленные комбинированные варианты. Главное условие для всех решений — наличие четких правил. Далее мы кратко представим и сравним три наиболее распространенные на данный момент концепции: BYOD, CYOD и COPE — на примере смартфонов и планшетных компьютеров.

BYOD

Bring Your Own Device (дословный перевод: «принеси свое устройство») — наиболее сложная из рассматриваемых концепций. В зависимости от того, как понимать этот термин, данную концепцию можно считать более или менее полезной и рекомендуемой к использованию. Вообще, BYOD означает лишь то, что сотрудник предприятия использует свое личное (мобильное) устройство, в том числе и для рабочих задач — неважно, в каком объеме, с ведома работодателя или без его разрешения. Но это понятие можно трактовать по-разному.

• Сценарий 1: сотрудник использует свое устройство на рабочем месте только для собственных нужд и периодических (личных) телефонных звонков, однако при необходимости работодатель может через него связаться с сотрудником в нерабочее время.
• Сценарий 2: сотрудник использует свое устройство в том числе и для рабочих задач — он получает доступ к корпоративной сети, может загружать электронную почту, информацию о событиях из календаря и контактные данные (услуги связи при этом оплачиваются самим сотрудником, а работодатель компенсирует его расходы).
• Сценарий 3: сотрудник использует свое устройство в том числе и для рабочих задач, но договор на оказание услуг связи заключается и оплачивается работодателем.

Сценарий 1 наиболее релевантен с точки зрения трудового права, причем он сравнительно прост в реализации: по возможности должны быть четко сформулированы (желательно в письменном виде) правила регламентации телефонных разговоров в рабочее время и вне его. Подробные «правила игры» и четкие границы необходимы, иначе сотрудник, доступный по личному телефону, может восприниматься работодателем как «служба экстренного реагирования» или как специалист с «расширенным рабочим графиком», в результате чего на него обрушивается поток звонков и электронных писем, а начальник ожидает незамедлительной ответной реакции. Кроме того, необходимо проверить и урегулировать использование такими устройствами корпоративной сети WLAN и их соответствие установленным требованиям к безопасности.

При реализации сценариев 2 и 3 возникает ряд правовых вопросов, связанных с ответственностью, имущественной принадлежностью, а также распределением обязанностей по техническому обслуживанию и администрированию мобильных устройств (Mobile Device Management, MDM). В случае со вторым сценарием необходимо решить, какую именно политику выбрать в отношении, как правило, уже активно применяемой (и обычно молча допускаемой) практики BYOD: запретить ее официально, терпеть или осознанно развивать и регулировать с помощью дополнительных письменных соглашений с сотрудниками (см. Таблицу 1).

Таблица 1. Сравнение концепций использования клиентских устройств.

CYOD

В соответствии с концепцией Choose Your Own Device (дословный перевод: «выбери свое устройство») предприятие предоставляет своим сотрудникам те устройства, которые оно само приобрело, с уже оформленным договором на оказание услуг связи. Сотрудник при этом может выбрать из предложенного ассортимента мобильных телефонов, смартфонов или планшетных ПК тот аппарат, который лучше всего соответствует его рабочим задачам и личным предпочтениям.

В отличие от концепций BYOD и COPE, из названия этого подхода неясно, можно ли использовать устройство, являющееся собственностью предприятия, в личных целях. Соответственно, следует различать более «строгую» концепцию CYOD, допускающую использование корпоративных устройств исключительно для работы, и более мягкий вариант, разрешающий их эксплуатацию в личных целях. При этом использование устройства всегда должно соответствовать корпоративным директивам и правилам MDM.

COPE

Пожалуй, наименее известным термином является COPE. Аббревиатура фразы Corporate-Owned, Personally Enabled (вольный перевод: «корпоративные устройства, настройкой и обслуживанием которых сотрудник занимается самостоятельно») означает следующее: как в случае с CYOD, предприятие предоставляет сотруднику смартфон или планшетный ПК — обычно с разрешением на использование этого устройства в личных целях. Однако сотрудник — по крайней мере до определенной степени — самостоятельно отвечает за его настройку и текущее техническое обслуживание, поэтому концепция COPE может применяться, только если пользователи обладают достаточными знаниями и навыками обращения с устройствами, операционными системами и их сервисным обслуживанием.

У каждой из этих трех концепций есть свои преимущества и недостатки.

ПРОДУКТИВНОСТЬ РАБОТЫ

Если сотрудникам разрешить пользоваться собственными устройствами для выполнения рабочих задач или, наоборот, использовать корпоративное устройство для личных целей, то, как показали опросы, это способствует повышению их продуктивности. Они могут гибко планировать свою работу без привязки ко времени или пространству и уже не полагаться только на свой офисный ПК — нужно лишь иметь с собой необходимое устройство, кабель для зарядки и аксессуары, к примеру гарнитуру с наушниками и т. д. Кроме того, служащие оказываются всегда доступны по одному номеру и могут пользоваться желаемыми устройствами.

Среди трех концепций с явным отрывом лидирует BYOD, в том числе и из-за того комфорта, который обеспечивают зачастую более производительные и «модные» личные устройства. В зависимости от ситуации второе место занимает CYOD или COPE: в случае применения концепции CYOD сотрудник может пользоваться желаемым устройством, но ему приходится мириться с наложенными ограничениями. COPE предоставляет больше свободы, но это касается только технически продвинутых пользователей: они должны заниматься установкой, настройкой и обслуживанием обновлений и новых приложений. При этом нельзя оставлять без внимания вопросы безопасности, которые тоже накладывают ряд ограничений.

ЗАТРАТЫ

BYOD: если предприятие терпит или целенаправленно разрешает использование личных устройств, это позволяет значительно сократить расходы на приобретение оборудования. Хотя расходы пользователей личных устройств зачастую компенсируются, все равно на начальных вложениях удается заметно сэкономить. Однако затраты на администрирование и техническую поддержку таких устройств, могут значительно возрасти — особенно если необходимо обеспечить поддержку большого количества разных операционных систем и типов оборудования, которые к тому же часто меняются. Многие сотрудники предпочитают пользоваться только самыми современными устройствами, что не всегда совпадает с предусмотренными условиями субсидирования или запланированными сроками использования.

CYOD: при такой модели работодателю приходится нести расходы на приобретение аппаратного обеспечения, зато ограниченный выбор устройств позволяет ему достаточно эффективно управлять затратами на их обслуживание и техническую поддержку. Необходимо установить четкие правила в отношении возможностей использования устройств и сроков их службы.

COPE: работодатель несет все расходы по приобретению оборудования, однако затраты на его базовое техническое обслуживание отсутствуют. Как правило, устройство просто передается сотруднику, который самостоятельно настраивает его в соответствии с требованиями отдела ИТ или адаптирует предопределенную базовую конфигурацию под себя. При возникновении проблем с аппаратным обеспечением сотрудник обращается напрямую к поставщику оборудования, а текущее обслуживание (установка обновлений, заплат и т. д.) выполняется им самостоятельно. Он обязуется поддерживать в актуальном состоянии программное обеспечение и по мере сил и возможностей занимается техническим обслуживанием устройства. Служба технической поддержки вмешивается только в тех случаях, когда для этого действительно есть повод. Такой подход экономит много времени, а значит, и средств, но предполагает наличие у пользователей определенных знаний.

ТРУДНОСТИ ПРАВОВОГО ХАРАКТЕРА

Личная ответственность, имущественная принадлежность и распределение обязанностей по техническому обслуживанию — в каждой из этих трех концепций есть свои правовые ловушки.

В качестве примера приведем несколько вопросов, на которые следует обратить внимание.

BYOD: пожалуй, с правовой точки зрения концепция BYOD представляет собой самое опасное минное поле, поэтому на практике ее следует реализовывать только в рамках четко заданных директив ИТ и с заключением письменных соглашений, утвержденных советом директоров. Помимо сложностей технического плана возникает множество вопросов правового и концептуального характера. До какой степени корпоративные правила безо-

пасности могут ограничивать функционал личных устройств? Кто несет ответственность за личные данные на устройстве, если в случае его кражи отделу ИТ придется удалить всю информацию? Что произойдет, если сотрудник превысит установленные объемы трафика и возникнут дополнительные расходы? Кто контролирует использование личных приложений или музыкальных файлов в рабочих целях? Так, если песню, скачивание которой разрешено физическому лицу, поставить в качестве мелодии звонка на устройство, которое применяется и для работы, то это уже может считаться нарушением лицензии.

Количество возможных правовых вопросов огромно, причем зачастую они носят специфический характер, поэтому внедрение этой концепции невозможно без технических и правовых консультаций со специалистами.

CYOD: поскольку работодатель приобретает устройства самостоятельно, он может избежать множества ловушек, если ограничит их использование исключительно рабочими задачами. Если же разрешить применение в личных целях, то возникают те же проблемы, что и в случае с BYOD, а также вопросы, связанные с налогообложением получаемой финансовой выгоды и с лицензионно-правовыми аспектами в отношении смешанного использования ПО и контента вроде музыки или видео. Поэтому и здесь требуется четко сформулированное письменное соглашение, где будут перечислены все правила. Кроме того, необходимо оговорить перечень поддерживаемых устройств, разрешенных программ и приложений, а также установить границы для личного использования. В последнем случае речь идет о регулировании рабочего времени и о финансовых рисках, к примеру о затратах на роуминг.

COPE: помимо вышеупомянутых вопросов, при реализации этой концепции необходимо определить ответственность за (косвенные) убытки в результате неудачных технических манипуляций. Поскольку работодатель делегирует своим сотрудникам определенную задачу, действуют обычные нормы, регулирующие ответственность, — правда, с определенными поблажками. Так, работник должен отвечать главным образом за преднамеренные повреждения или грубую халатность. Обязанности рекомендуется четко распределять по принципу «безопасность прежде всего»: в случае возникновения любых вопросов сотруднику следует обращаться за дополнительными консультациями, а работодателю — четко разделить сферы ответственности. Помимо заключения письменного соглашения рекомендуется предоставлять сотрудникам актуальные рекомендации и инструкции (предупреждения о ненадежных приложениях, советы по установке обновлений и т. д.).

ИНТЕГРАЦИЯ, АДМИНИСТРИРОВАНИЕ И БЕЗОПАСНОСТЬ

Из одних только соображений безопасности для всех трех концепций крайне рекомендуется использовать решение MDM (см. Рисунок 1). Начиная с определенного количества мобильных конечных устройств их администрирование вручную без использования автоматизированных технических решений становится невозможным. Только регулярная инвентаризация аппаратного и программного обеспечения и круглосуточный контроль за устройствами в реальном времени позволят руководству предприятия быть уверенным в том, что эти устройства используются законным образом и в соответствии с предписаниями.

Рисунок 1. Будь то BYOD, CYOD или COPE, важно обеспечить надежную интеграцию мобильных конечных устройств в ИТ-структуру предприятия с помощью решения MDM.

Неконтролируемое применение личных устройств может привести к возникновению огромных брешей в безопасности корпоративной сети. Не говоря уже о текущей технической поддержке и установке обновлений, на интеграцию большого числа различных систем и типов устройств при реализации концепции BYOD может потребоваться столько усилий, что будут превышены все пределы допустимого. В случае затруднений с выбором концепции следует предпочесть CYOD или COPE, поскольку они изначально позволяют предотвратить или хотя бы значительно ограничить безудержный наплыв различных типов конечных устройств и операционных систем.

Если же делать ставку на подход BYOD, то при разработке индивидуальной стратегии обязательно нужно согласовать перечень устройств для BYOD. Только так можно снизить вероятность возникновения проблем с совместимостью, а также сократить усилия на администрирование и уменьшить риски, связанные с обеспечением безопасности. Кроме того, необходимо подробно информировать сотрудников и указывать им на риски для безопасности.

Для всех трех концепций существует одна общая проблема: граница между рабочей и личной сферами становится все более зыбкой.

Роберт Химмельсбах — директор по развитию бизнеса в компании MPC Mobilservice.