隨著網(wǎng)絡范圍的不斷擴大，IT部門不得不應對新的工作負擔。根據(jù)Forrester公司的調(diào)查結(jié)果，全球已經(jīng)有29%的企業(yè)員工以遠程方式處理工作信息，他們常常利用三臺或更多設(shè)備在不同地點處理日常事務，且在流程中往往涉及多種應用程序，這一狀況已經(jīng)引起了IT部門領(lǐng)導者的重視。

事實上，F(xiàn)orrester指出截至今年年底，BYOD趨勢將影響到全球范圍內(nèi)6億以上企業(yè)員工，如此迅猛的增長速度將迫使企業(yè)調(diào)整現(xiàn)有管理策略或者部署新方針以適應移動時代的新要求。

在一封寫給CSO的電子郵件中，Neohapsis公司(這是一家安全與風險管理企業(yè)，主要關(guān)注移動與云計算領(lǐng)域)高級安全顧問Aaron Rhodes提出了五項重要因素，旨在指導企業(yè)真正制定出與移動趨勢緊密契合的安全管理策略。

1.樹立正確的移動安全原則

“移動管理項目往往要對傳統(tǒng)機制進行全面淘汰，但大家的新策略則應該從歷史的高度審視安全問題，并以此作為首要安全框架”Rhodes建議。

企業(yè)首先需要對智能手機與平板設(shè)備所訪問的數(shù)據(jù)類別進行劃分，而后將移動平臺的安全問題上升到與網(wǎng)絡內(nèi)業(yè)務系統(tǒng)同等重要的高度。

IT部門需要為移動設(shè)備制定一整套管理政策與執(zhí)行流程，并在不占用過多現(xiàn)有資產(chǎn)的前提下考慮如何部署企業(yè)的移動IT普及方針。

當涉及“首要安全框架”時，大家應當優(yōu)先確保需要存儲敏感數(shù)據(jù)的智能設(shè)備始終處于企業(yè)安全策略及政策的保護之下。

更細節(jié)的問題CSO要考慮到：網(wǎng)絡中各類移動設(shè)備會執(zhí)行哪些類型的訪問操作?移動設(shè)備中會存儲哪幾類數(shù)據(jù)?誰會使用這些數(shù)據(jù)?目前我們對此類流程采用哪種管理方式?這種方式又是否足以保障業(yè)務安全?

在把智能手機當作內(nèi)部系統(tǒng)進行管理時，Rhodes認為最好的檢驗方式在于直接比較移動設(shè)備在安全性方面與網(wǎng)絡內(nèi)部系統(tǒng)的異同。概括來說，移動設(shè)備能夠保存與內(nèi)部業(yè)務資產(chǎn)與服務之間的連接機制，而這些使用通道的設(shè)備都應該受到嚴格保護與高效管理。

“一臺智能手機很可能包含移動VPN客戶端，它允許用戶訪問企業(yè)網(wǎng)絡中的各類內(nèi)部資源，包括內(nèi)部Web應用程序。這種方式與企業(yè)局域網(wǎng)環(huán)境內(nèi)的桌面設(shè)備完全一致”他解釋道。

關(guān)于如何創(chuàng)建數(shù)據(jù)分類清單以及如何處理與此相關(guān)的優(yōu)化級乃至移動應用管理和移動設(shè)備管理方案。Rhodes強調(diào)CSO首先想到的應該是風險問題，對于移動領(lǐng)域，最常見的風險在于移動設(shè)備丟失引發(fā)的后續(xù)影響——事實上由員工粗心或惡意盜竊引發(fā)的設(shè)備丟失很難避免，將設(shè)備郵件加密、PIN碼解鎖甚至是‘遠程數(shù)據(jù)清除’這類功能納入到管理政策當中可以有效降低設(shè)備丟失引發(fā)的后遺癥。

“鑒于移動設(shè)備在暴露機率方面與其它基礎(chǔ)調(diào)入相比更高，我們應當首先改進企業(yè)網(wǎng)絡的全局安全狀況并將移動設(shè)備保護放在緊隨其后的位置。”Rhodes說。

2.做好移動設(shè)備管理方案規(guī)劃

“建立一套具體的時間表，并向其中添加階段性目標與里程碑式事件，在研究工作中也要引入時間概念。如果打算開發(fā)移動設(shè)備管理(簡稱MDM)或者移動應用管理(簡稱MAM)系統(tǒng)，那么首先要考慮哪種方案更易于整合到現(xiàn)有IT架構(gòu)當中”Rhodes建議道。

“在審視移動管理政策時，大家首先需要考慮的是能否利用現(xiàn)有工具匹配移動設(shè)備管理方針。以IT團隊中的技術(shù)領(lǐng)導者為立足點，考量他們已經(jīng)擁有的應對能力”他解釋道。

“舉例來說，微軟Exchange就能夠與移動設(shè)備進行交互，并以強制方式在移動平臺上執(zhí)行安全政策、從而改進移動郵件安全性。當大家購買MDM/MAM解決方案時，首先要意識到當前市場上已經(jīng)存在多種此類產(chǎn)品。也許大家目前選擇的供應商也在提供MDM產(chǎn)品，而來自同一家廠商的方案往往更容易完成整合。檢查產(chǎn)品的功能集，確保企業(yè)當前使用的移動設(shè)備確實受到支持。”

3.常用的移動管理政策

“創(chuàng)建并管理指導方針有助于防止企業(yè)數(shù)據(jù)與郵件在移動設(shè)備上被過度濫用，這反過來還會激勵用戶采取更為謹慎的移動處理態(tài)度。更重要的是，一旦發(fā)生問題，他們無法置身事外”

Rhodes認為實現(xiàn)此類目標需要遵循兩大主要方式。首先是通過技術(shù)監(jiān)控措施預防安全問題的發(fā)生，其中包括信息加密、PIN碼以及設(shè)備的遠程數(shù)據(jù)清除功能等等。

此外，建立起針對計算機安全事務的高度敏感意識，幫助企業(yè)員工培養(yǎng)良好的工作習慣十分重要。

Rhodes還列出了以下幾條常用的移動管理政策：

移動設(shè)備必須具備密碼保護機制

移動設(shè)備在訪問企業(yè)電子郵件前必須使用設(shè)備加密機制

移動設(shè)備不可被刷機或“越獄”

移動設(shè)備必須在企業(yè)IT部門MDM系統(tǒng)的管理下處理日常工作

4.培訓移動安全常識:

大多數(shù)普通員工根本沒有意識到自己對移動設(shè)備的操作會給整個企業(yè)帶來多么可怕的后果。指導員工正確認識安全風險及應對策略能有效避免災難的發(fā)生。

如何做好安全意識培訓?

顯然首先要讓大家了解風險是客觀存在的，強調(diào)“遇到異常一定要及時上報”這一原則，并為他們提供傳達意見及匯報安全事件的順暢通道。預防機制雖然重要，但仍無法消除“IT白癡”可能帶來的嚴重后果，因此合適的應對流程同樣必不可少。

5.遵循合規(guī)性需求

“在進行企業(yè)管理政策制定工作時，務必將合規(guī)性要求作為重要參考對象。請記住，任何一家將業(yè)務數(shù)據(jù)存放在移動設(shè)備上的公司在IT系統(tǒng)監(jiān)管領(lǐng)域面臨的情況都是相同的”Rhodes指出，這就是五大要素中的最后一條。

在部署安全機制之前，合規(guī)性保障應當成為我們挑選MDM及MAM產(chǎn)品時的衡量標準。大家必須弄清這些產(chǎn)品是否足以與現(xiàn)有基礎(chǔ)設(shè)施順利對接，它們又是否會帶來額外的使用開銷。

合規(guī)性原則往往會推動企業(yè)中的安全要求逐漸向高標準、嚴要求層面發(fā)展。某些MDM及MAM產(chǎn)品具備特殊功能，旨在支持與法律相關(guān)的實際用例。

另外，最大程度利用現(xiàn)有基礎(chǔ)設(shè)施的潛能也很重要。如果一套系統(tǒng)能夠與現(xiàn)有基礎(chǔ)設(shè)施整合，那么供應商也就能更輕松地讓系統(tǒng)發(fā)揮實際作用，這樣甚至會使安全性得到顯著提高。”