Privé apparaat voor werk: wat mag wel en wat niet?

Je medewerkers doen het vaak al, ook als je het nooit hebt afgesproken: werkmail op de privételefoon, een bestand downloaden op de thuislaptop, even inloggen op een computer die ook de kinderen gebruiken. Het gebeurt vanzelf, want het is makkelijk. Een privé apparaat voor werk gebruiken is dus eerder regel dan uitzondering.

Het probleem begint pas als je er niets over hebt vastgelegd. Zodra bedrijfsgegevens op een privéapparaat staan, heb je minder grip op updates, apps, back-ups en op wie er nog meer bij het apparaat kan. Ook moet je bedrijfsgegevens kunnen verwijderen als iemand vertrekt of de telefoon kwijtraakt.

Privéapparaten verbieden is dus niet de enige route, en alles toestaan ook niet. Het gaat om een keuze per soort werk. In dit artikel zetten we een eenvoudig beslissingskader op: wat mag wel op een privéapparaat, wat niet, en hoe regel je dat technisch. Heb je liever eerst de basis? Lees dan ons artikel over BYOD soepel en veilig inrichten.

Wat valt er eigenlijk onder BYOD?

BYOD staat voor ‘bring your own device’: een medewerker gebruikt een eigen telefoon, tablet of laptop voor werk. Dat is meer dan alleen mailen. Denk aan inloggen op Microsoft 365, vergaderen via Teams, klantbestanden openen, een boekhoudpakket of CRM gebruiken, of een bijlage opslaan in de map Downloads.

Afhankelijk van de app blijven gegevens in de cloud staan of belanden ze als bijlage, cache of bestand op het apparaat zelf. Juist die kopieën zijn lastig te beheren. Dat zie je ook terug in privé en werk op hetzelfde apparaat.

Wat je op een privéapparaat niet volledig in de hand hebt

Op een bedrijfslaptop bepaalt je IT-partner de instellingen. Op een privéapparaat kiest de medewerker zelf. Dat heeft een aantal gevolgen:

Anderen gebruiken het apparaat mee

Een thuiscomputer of tablet wordt vaak gedeeld met een partner of kind, soms via één gezamenlijk account. Als werk en privé niet te scheiden zijn, hoort bedrijfsdata daar niet thuis.

Updates blijven liggen

Je weet niet zeker of het besturingssysteem nog beveiligingsupdates krijgt. Een oude telefoon die al jaren niet meer wordt bijgewerkt, is een open deur.

Bestanden belanden op plekken buiten jouw beheer

Een gedownload bestand kan meegaan in een privéback-up naar een persoonlijke clouddienst. Of het wordt geopend in een app die je niet kent. Zo ontstaan kopieën die je later nooit meer kunt opruimen.

Reparaties en verkoop

Een kapotte privételefoon gaat naar een reparatiewinkel naar keuze van de medewerker. Zijn werkmail en ingelogde sessies staan er dan nog op. Spreek daarom af wie de medewerker eerst moet bellen.

Uit dienst

Een account blokkeren stopt toekomstige toegang. Het haalt geen bestanden weg die al op het apparaat staan. Hoe je dat bij vertrek netjes aanpakt, lees je in offboarding: de eerste 24 uur.

Het beslissingskader: per soort werk kiezen

Begin niet bij het apparaat, maar bij het werk en de gegevens. Een simpele indeling in drie niveaus werkt voor de meeste MKB-bedrijven:

• Groen: mag op privé. Mail, agenda, chat en vergaderen via goedgekeurde apps, met MFA en schermvergrendeling. Er blijven geen bestanden op het apparaat achter.
• Oranje: alleen met voorwaarden. Werken in documenten of klantsystemen via beheerde apps, met versleuteling, actuele updates en een vergrendelde, afgeschermde werkomgeving. Opslaan op het apparaat is geblokkeerd.
• Rood: alleen op een bedrijfsapparaat. Beheerwerk, financiële administratie, personeelsdossiers, medische of juridische gegevens en alles waarbij veel data lokaal staat.

Beheerders horen sowieso op een beheerd apparaat en met een apart beheeraccount. Dat past bij het intrekken van lokale beheerrechten. Dezelfde regels gelden voor externe medewerkers: geef ze alleen toegang tot wat ze nodig hebben.

Minimale eisen voor een privéapparaat

Wil iemand toch werken op een eigen apparaat, dan stel je vooraf eisen. Zonder deze basis krijgt het apparaat geen toegang:

• een besturingssysteem dat nog beveiligingsupdates krijgt, met automatische updates aan;
• een schermvergrendeling met pincode, wachtwoord of biometrie;
• versleuteling van het apparaat, ingeschakeld vóór verlies of diefstal;
• MFA op alle werkaccounts;
• geen rooted of gejailbreakte toestellen;
• een eigen gebruikersaccount op gedeelde computers;
• een vast meldpunt bij verlies, diefstal, reparatie of malware.

Houd rekening met je verplichtingen onder de AVG. Je blijft verantwoordelijk voor persoonsgegevens, ook als ze op het apparaat van een medewerker staan. Meer over het thuiswerken zelf vind je in huisregels voor de werklaptop thuis.

MAM of MDM: hoeveel beheer is nodig?

Technisch zijn er grofweg twee manieren om werk en privé te scheiden. Het verschil bepaalt ook hoeveel je van het apparaat kunt zien.

MDM: het hele apparaat beheren

Bij mobile device management (MDM) wordt het apparaat aangemeld bij je beheeromgeving, bijvoorbeeld Microsoft Intune. Je kunt instellingen afdwingen en controleren of het apparaat aan de eisen voldoet. Dat geeft veel controle, maar op een privétoestel ook veel inzicht. Daar moeten medewerkers het mee eens zijn.

MAM: alleen de werk-apps beheren

Bij mobile application management (MAM) beheer je alleen de werk-apps en hun gegevens. Je kunt kopiëren naar privé-apps blokkeren, een extra pincode eisen en bij vertrek alleen de bedrijfsgegevens wissen. De rest van de telefoon blijft van de medewerker.

Voor privéapparaten is MAM meestal de nette keuze. Het beschermt jouw gegevens zonder dat je in het privéleven van je medewerker kijkt. Een volledige fabrieksreset van een privéapparaat is bijna nooit gepast. Kies waar het kan voor selectief wissen. Selectief wissen heeft wel een grens: wat al naar een niet-beheerde app of privé-back-up is gekopieerd, kun je er niet meer uit halen.

Zo pak je het aan

1. Inventariseer welke privéapparaten nu al voor werk worden gebruikt. Vraag het gewoon, zonder dat het een afrekening wordt.
2. Deel het werk in in groen, oranje en rood.
3. Kies je beheermethode: MAM voor privé, volledig beheer voor bedrijfsapparaten.
4. Leg het vast in een korte regeling die beantwoordt wie, welk apparaat, welk werk, welke apps, welke instellingen, wat je als bedrijf kunt zien en wat er gebeurt bij verlies of vertrek.
5. Laat medewerkers de regeling lezen en accepteren voordat ze toegang krijgen. Laat de tekst bij twijfel toetsen op arbeidsrecht en privacy.
6. Test het wissen op een testtoestel, zodat je weet dat het ook echt werkt.

Ook een mobiel-geoptimaliseerde werkplek helpt: hoe minder gegevens lokaal staan, hoe minder er mis kan gaan.

Een klein praktijkscenario

Een administratiekantoor van twaalf medewerkers laat iedereen mail en agenda gebruiken op de eigen telefoon, via beheerde apps met MFA. De financiële administratie en de klantdossiers blijven op bedrijfslaptops. Raakt een telefoon kwijt, dan blokkeert de IT-partner de sessies en wist de bedrijfsgegevens uit de apps. Dat kost een kwartier en de medewerker houdt zijn eigen foto’s.

Veelgestelde vragen

Mogen medewerkers alleen via de browser werken?

Dat kan, maar ook dan blijven sporen achter: cache, downloads, opgeslagen wachtwoorden en actieve sessies. Beperk browsertoegang voor gevoelig werk, of laat het alleen toe op beheerde apparaten.

Is MFA genoeg om een privéapparaat te beveiligen?

Nee. MFA beschermt het account. Versleuteling beschermt opgeslagen bestanden en beheerde apps regelen wat er met gegevens gebeurt. Daarnaast heb je updates, schermvergrendeling en een meldprocedure nodig.

Kan ik de privégegevens van een medewerker zien?

Dat hangt af van de beheermethode. Bij MAM zie je vooral de werk-apps. Bij volledige apparaatregistratie zie je meer. Leg altijd schriftelijk uit wat jij kunt zien en doen.

Is BYOD goedkoper dan bedrijfsapparaten?

Je bespaart op aanschaf, maar het beheer, de ondersteuning en de beveiliging kosten tijd en geld. Of het per saldo goedkoper is, hangt af van het werk en het aantal medewerkers.

Wil je weten welke werkplekregels bij jouw team passen? Neem vrijblijvend contact op met OkayICT in Utrecht, dan denken we met je mee.