规划BYOD安全策略的十个要点

ZDNET安全频道 11月21日 原创翻译：自带设备也就是BYOD问题总是老生常谈。在企业里，智能手机和平板电脑的使用已经稀松平常，所以企业不得不顺应这种潮流趋势。当一个CEO，经理合伙人或者一个企业的主要负责人，想要使用自己的设备，IT部门不得不全力支持他们并且保护其信息安全。

BYOD模式可以提升员工的工作效率，并且可以按照员工自己的时间来安排工作，使员工在工作的同时感觉更加舒心。但是，IT部门的工作人员却反映说，BYOD的实施带来许多新的复杂的挑战，他们不仅仅要解决员工私人设备接入企业网的问题，还要保护企业的数据安全。BYOD不仅仅是简单的技术问题，他需要企业改变政策并且对终端用户进行一些额外的培训。

在某些领域里，不同行业的的安全策略也是不同的。根据数据信息所具有的性质，企业在对信息数据进行收集、处理、传播的过程中会产生巨大的差异。现如今企业对安全管理的要求越来越高，这就强制企业必须出台一套更为严谨的策略。

由于在多种连接和网络环境上，存在系统安全漏洞的概率越来越高。企业用户需要创建一个过滤装置，例如：同步应用程序，远程访问，虚拟专用网络（VPNs）等，它必须嵌入在这个过滤装置中，这样可以确保只有合法用户才能被授权访问内部信息，或者只有合法用户才能进行一些高限制级的操作。由于个人设备被应用于在企业的网络上，所以当用户安装了不安全的个人应用程序后，会使犯罪分子潜入到企业网络中获取敏感数据，这同样会带来危险。

笔者认为，主要的安全隐患存在于双用途性质的移动设备当中，比如被盗或丢失的企业笔记本电脑。尽管笔记本电脑可能已经有了像内置全盘加密或认证的安全保护措施。但个人设备，尤其是智能手机和平板电脑，为了追求更加方便简单的操作和更快访问的速度，继而会选择避开这些附加的保护层，直接使用设备。

在BYOD中最大的威胁是一个名为Dropbox（Dropbox是一个提供同步本地文件的网络存储在线应用，支持在多台电脑多种操作中进行自动同步，并可当作大容量的网络硬盘使用）的新型应用程序。该程序通过在企业的安全结构上制造一个漏洞，从企业网络上同步文件到移动设备，用户可能会创建一个新的渠道来同步文件，继而企业机密信息可能就被泄漏了。许多企业已经决定禁止这些同步工具的访问，直到有一个可以集中控制权限的管理、进行身份验证的服务程序出现，从而帮助企业保护信息数据的安全，并且管理这些同步工具。

那么，你准备如何为你的企业来处理这些额外的安全风险？你可以采取哪些步骤来解决这些安全问题，提高当前的网络安全性呢？

以下十个步骤，帮你构思一个可以满足安全需求的BYOD策略。没有单一的解决方案可以处理所有的问题，而我们将策略，培训和第三方解决方案相结合，相信你的绝大部分问题都可以得到解决：

1. 检查当前网络应用程序的安全策略（CRM，电子邮件，门户网站）、VPN等远程访问。其中大部分将适用于移动设备的使用。

2. 选择你允许的设备进入企业网络。这是因为并非所有的设备都将满足您的企业安全要求。另外，检查每个设备确保它没有被越狱或设置最高管理员权限（root权限）。

3. 明确的预期目标。目前，IT行业可能已经从根本上改变了人们的想法。是的，通过附加的安全层可以做到增加企业网络的安全性，但有哪一次的安全事件是把安全层作为突破口的呢？

4. 为所有要使用个人设备的员工书写清晰、简明的规章条例。任何参与BYOD模式的人都要签署使用条款。违背此条款的员工将不被允许使用自己的设备。

5. 强制使用个人识别号码（PIN）。

6. 在休息时，强制加密数据。下载任何应用程序和存储数据时都要做好数据防泄漏工作。如果PIN或密码被破解，你要确保数据仍然受到保护。

7. 确定哪些类型的应用程序是禁止下载到个人设备和应用于企业网络的。在互联网上有数以十万计的应用程序，哪类是允许使用的？是否有特定的应用程序或类别是需要禁止安装的？

8. 提供员工培训。确保员工了解如何正确使用自己的应用程序，同时培训他们识别可使用的应用程序种类。一旦你接受了BYOD模式，就要一起保护该网络。

9. 现如今，移动设备已经成为信息流通的主要渠道，所以寻找可审计、可报告和可集中管理的应用程序成为首要任务。但是目前，很多应用程序都无法满足这一需求。

10. 有计划的选择移动设备管理软件，它可以提供安全的客户端应用程序，如电子邮件和Web浏览器等，也可以对无线设备的应用程序进行分配、监控谠远程控制。同时还要警惕一些软件供应商的要求——应用程序只能在支持自己的平台上重新编写的情况。在此类情况下，你的应用程序将不能运行在你选择的解决方案中。

BYOD策略和实施手段随着技术的发展而变化。当你认为你的设备已经被安全网络覆盖了的时候，通过你的用户群，一个新的“必须使用”的应用程序的安装可能就将打破你的想法。你必须找到新的办法解决这个问题。首当其冲的是：你需要确定你的总体目标和细化的方针策略，在主要的是要满足你的安全需求，并且具备很高的灵活性，以便跟上不断变化的趋势。