and don't have the possibility to provide a VPN connection
¿Qué tiene que ver el tamaño (o el presupuesto) con eso? Tanto Android como iPhones (y muchos más dispositivos móviles, incluyendo computadoras portátiles que ejecutan MSWindows, Linux de MacOS) proporcionan PPTP, L2TP e IPSEC de forma inmediata. También se conectarán con gusto a los servicios HTTPS.
El extremo del "servidor" solo necesita una dirección IP accesible, un dispositivo físico y algún software. Y ya debe tener los 2 primeros si está proporcionando servicios como el correo electrónico.
Sin embargo, si se requiere una seguridad buena en lugar de una seguridad básica, entonces debería prestar atención a la prestación de un servicio de tipo de escritorio remoto (solo entregar la pantalla al dispositivo), ya que no puede garantizar la seguridad física del dispositivo, no puede confiar en su integridad.
Tratar de bloquear el dispositivo, administrarlo de forma remota y mantener un sistema de archivos cifrado es un enfoque común para las empresas (y es necesario si va a mantener datos confidenciales en el dispositivo), pero aquí es donde los costos aumentan incluso más rápido que el dispositivo. superficie de ataque. Otro problema es que este es un modelo BYOD: ¿por qué debería tener control sobre un dispositivo que no le pertenece?
IMHO que proporciona acceso seguro a una interfaz de usuario alojada centralmente es más seguro y más barato. También resuelve el problema de propiedad de BYOD.