如果信息技術(shù)無處不在，誰來負(fù)責(zé)安全風(fēng)險(xiǎn)?讀過本文，即便最棘手的風(fēng)險(xiǎn)問題也將迎刃而解。
今年2月，盜賊持槍搶劫了美國英提格瑞斯衛(wèi)生署(Integris)一家家庭醫(yī)療服務(wù)商的筆記本電腦。英提格瑞斯衛(wèi)生署的首席信息官(CIO)約翰·迪蘭諾(John Delano)面臨兩項(xiàng)首要任務(wù)：確保員工安全和保護(hù)筆記本電腦上的病人信息。幸運(yùn)的是，員工安然無恙，加密過的病人信息也絲毫無損。到目前為止，該公司的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略發(fā)揮了重要作用。
近來，人們對(duì)筆記本電腦、智能手機(jī)、便攜媒體等移動(dòng)技術(shù)的使用大大增加，同時(shí)也使商業(yè)信息面臨新的風(fēng)險(xiǎn)。根據(jù)安全咨詢機(jī)構(gòu)波耐蒙研究所(Ponemon Institute)在2006年發(fā)布的一份報(bào)告，超過54%的安全侵害行為是由于筆記本電腦、移動(dòng)設(shè)備或電子備份數(shù)據(jù)丟失引起的。目前美國幾個(gè)州政府已經(jīng)制訂了有關(guān)數(shù)據(jù)泄漏的法律條文--從另一個(gè)方面來看，這也促使CIO們對(duì)客戶信息保護(hù)工作予以高度重視。
盡管使用移動(dòng)設(shè)備存在風(fēng)險(xiǎn)，但由于他們能夠提高工作效率，同時(shí)也因?yàn)榛A(chǔ)設(shè)施更加完善，移動(dòng)設(shè)備用戶正在迅速增加。一份2006年的費(fèi)雷斯特(Forrester)報(bào)告顯示，幾乎三分之二的美國公司正在使用無線網(wǎng)絡(luò)，而移動(dòng)通話和數(shù)據(jù)傳輸?shù)馁M(fèi)用在去年的通信預(yù)算中占到近四分之一。
危機(jī)四伏
移動(dòng)技術(shù)、特別是那些被首席執(zhí)行官(CEO)、公司高管、銷售和顧問使用的移動(dòng)技術(shù)，往往涉及銷售額和電子郵件等極為敏感的公司資料。而最新的移動(dòng)設(shè)備具有更大的儲(chǔ)存容量和更強(qiáng)的互聯(lián)網(wǎng)訪問功能。
存儲(chǔ)量增大的后果是更多數(shù)據(jù)處于被盜、丟失或使用不當(dāng)?shù)娘L(fēng)險(xiǎn)之下，CIO們?yōu)榇松罡袚?dān)憂。同樣讓他們擔(dān)心的是，多數(shù)商業(yè)用戶不會(huì)在非安全的環(huán)境中采取適當(dāng)?shù)陌踩胧?。例如?003年發(fā)生了一次令人擔(dān)憂的事件：一臺(tái)從eBay購得的黑莓無線設(shè)備被發(fā)現(xiàn)存儲(chǔ)著1,000多人的姓名、電子郵件地址和電話號(hào)碼，以及200多封公司內(nèi)部郵件。出售這臺(tái)設(shè)備的人想當(dāng)然地認(rèn)為，卸下電池以后數(shù)據(jù)就會(huì)被全部刪除了，結(jié)果卻出乎他的意料。
同時(shí)，更多人對(duì)移動(dòng)環(huán)境發(fā)起攻擊。去年，反病毒廠商發(fā)現(xiàn)了200多種手機(jī)病毒。間諜軟件、網(wǎng)絡(luò)釣魚軟件、域名欺騙軟件、惡意軟件、零時(shí)差瀏覽器攻擊、以及僵尸網(wǎng)絡(luò)等攻擊軟件正在迅速蔓延。據(jù)Trend Micro公司的調(diào)查顯示，僅僅針對(duì)Windows智能手機(jī)設(shè)備，就已經(jīng)發(fā)現(xiàn)了約30種惡意軟件。微軟估計(jì)有將近一千兩百萬人在使用智能手機(jī)。
美國《加州參議院1386號(hào)法案》和《1996年健康保險(xiǎn)流通和責(zé)任法案》等隱私條例針對(duì)非公開的個(gè)人信息制定了披露標(biāo)準(zhǔn)和保護(hù)標(biāo)準(zhǔn)。法律規(guī)定，對(duì)那些獲取并存儲(chǔ)個(gè)人信息的公司來說，如果發(fā)現(xiàn)某個(gè)公司對(duì)個(gè)人身份信息處理不當(dāng)，該公司必須向公眾說明情況，這無疑是更大的挑戰(zhàn)。
以醫(yī)療領(lǐng)域?yàn)槔?，病人的個(gè)人信息存儲(chǔ)在醫(yī)生和護(hù)士的多種移動(dòng)設(shè)備上。今天，遠(yuǎn)程診斷中心可以向醫(yī)生的智能手機(jī)發(fā)送病人的心電圖。正因?yàn)橐苿?dòng)設(shè)備已經(jīng)變得不可缺少，《1996年健康保險(xiǎn)流通和責(zé)任法案》將保護(hù)病人信息作為絕對(duì)強(qiáng)制性的要求。根據(jù)聯(lián)邦法律，對(duì)醫(yī)療信息使用不當(dāng)將牽涉到一定程度的刑事和民事責(zé)任，有可能遭到25萬美元的罰款和長達(dá)10年的監(jiān)禁。
在這一背景下，因?yàn)樵馐軘?shù)據(jù)侵害而丟失個(gè)人信息已經(jīng)成為超越IT部門的商業(yè)問題。負(fù)面的公眾形象是昂貴而難堪的，這將使消費(fèi)者和投資者失去信心?！≈朴啈?zhàn)略
為了與這些風(fēng)險(xiǎn)進(jìn)行有成效的斗爭，我們推薦制訂一個(gè)全公司范圍的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略，以指導(dǎo)公司進(jìn)行問題評(píng)估，制訂與潛在商業(yè)影響相符的預(yù)算，并將任何技術(shù)上、步驟上和組織結(jié)構(gòu)上的解決方案作為頭等大事來抓，從而降低風(fēng)險(xiǎn)。
在制訂這一方案的過程中，CIO必須動(dòng)員公司全體部門，調(diào)動(dòng)市場部、法律部和客戶關(guān)系部，還要與首席信息安全官(CISO)和其他風(fēng)險(xiǎn)經(jīng)理們通力合作。在制訂移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略時(shí)，應(yīng)先按照以下步驟確定公司的安全需求：
* 在全公司范圍盤點(diǎn)移動(dòng)技術(shù)。對(duì)大公司的庫存進(jìn)行評(píng)估是件非常困難的事情，因此可以選取有代表性的員工組合作為樣本，并在移動(dòng)主機(jī)上安裝多種工具。
可以考慮從以下問題入手："公司里哪些人在使用移動(dòng)技術(shù)，目的是什么?他們使用著哪些類型的移動(dòng)技術(shù)?使用頻率和地點(diǎn)如何?"
然后檢查存儲(chǔ)的數(shù)據(jù)性質(zhì)和安全措施。哪些類型的信息在該設(shè)備和公司系統(tǒng)之間傳輸?該設(shè)備得到哪些認(rèn)證機(jī)制的保護(hù)?存儲(chǔ)了哪些信息?有多少數(shù)據(jù)被加密?
最后，考慮當(dāng)前和未來的技術(shù)需求。什么類型的技術(shù)有可能被使用?同步或備份移動(dòng)設(shè)備時(shí)使用的什么軟件?替換或處理舊設(shè)備的現(xiàn)有辦法是什么?
* 對(duì)數(shù)據(jù)侵害的影響進(jìn)行評(píng)估，確定風(fēng)險(xiǎn)管理的預(yù)算。CIO需要評(píng)估數(shù)據(jù)侵害的威脅并理解其對(duì)公司業(yè)務(wù)的影響，必須讓所有業(yè)務(wù)部門的高級(jí)管理人員了解分析結(jié)果。
一家《財(cái)富》100強(qiáng)公司的首席安全官通過監(jiān)測100天時(shí)間段內(nèi)受到多少次攻擊來解決這個(gè)問題。關(guān)于數(shù)據(jù)丟失帶來的成本，他的IT團(tuán)隊(duì)在幾周后給出了一個(gè)實(shí)際的估計(jì)值--這一數(shù)字幫助這位首席安全官說服了其他高級(jí)主管。這個(gè)估計(jì)值不但促使這家公司對(duì)移動(dòng)安全戰(zhàn)略進(jìn)行全面調(diào)整，還將丟失數(shù)據(jù)帶來的成本、安全運(yùn)營的附加成本及安全侵害對(duì)公司品牌和信譽(yù)造成的影響一一量化。
波耐蒙研究所于2006年8月發(fā)布的一份報(bào)告顯示，數(shù)據(jù)侵害造成的直接增量成本可以被量化：即平均每條丟失記錄的損失為54美元。如果數(shù)據(jù)侵害是小規(guī)模的，這一成本甚至更高，因?yàn)榉伞⑼ㄐ藕腿肆Τ杀镜姆謹(jǐn)傎M(fèi)用增大了。
高級(jí)管理層需要認(rèn)識(shí)到成本之外的其它后果。數(shù)據(jù)侵害還可能導(dǎo)致集體訴訟、市場價(jià)值受損、業(yè)務(wù)關(guān)系中斷、甚至公司破產(chǎn)。如果上升到法律的高度，侵入事件還可能導(dǎo)致罰款和處罰--公司管理層甚至可能因?yàn)樵诒Ｗo(hù)客戶個(gè)人信息方面犯有失職罪而面臨牢獄之災(zāi)。
執(zhí)行戰(zhàn)略
根據(jù)公司的具體需求勾勒出戰(zhàn)略輪廓后，下一個(gè)問題是確定實(shí)施辦法。在為移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略制訂路線圖時(shí)，請(qǐng)考慮以下幾個(gè)方面的內(nèi)容。
標(biāo)準(zhǔn)化是管理移動(dòng)設(shè)備的辦法之一，但如果公司擁有大量不同的移動(dòng)設(shè)備和多種操作系統(tǒng)，標(biāo)準(zhǔn)化就比較困難了。針對(duì)這個(gè)問題，可以通過制訂一套標(biāo)準(zhǔn)程序來有效管理移動(dòng)設(shè)備的采購、分配、替換、更新，以及管理丟失和鎖定的設(shè)備，并加強(qiáng)IT幫助中心的能力，集中管理各種設(shè)備。
移動(dòng)平臺(tái)管理解決方案會(huì)提供一個(gè)集中控制面板，讓全部移動(dòng)設(shè)備的安全設(shè)置保持一致。
定期審查和匯報(bào)也非常重要。最基本的一點(diǎn)，公司需要隨時(shí)掌握各臺(tái)設(shè)備是否遵守規(guī)定。CIO們還應(yīng)了解每臺(tái)移動(dòng)設(shè)備上存儲(chǔ)的商業(yè)信息類型。
移動(dòng)數(shù)據(jù)安全戰(zhàn)略的執(zhí)行措施包括：確定策略，保護(hù)移動(dòng)設(shè)備上的數(shù)據(jù)，對(duì)設(shè)備和用戶進(jìn)行認(rèn)證，監(jiān)控策略執(zhí)行情況并撰寫報(bào)告。
為了預(yù)防移動(dòng)設(shè)備丟失或被盜，執(zhí)行方案通常提供數(shù)據(jù)加密的功能。公司應(yīng)確保即使丟失密匙也能夠恢復(fù)數(shù)據(jù)。一個(gè)強(qiáng)大的管理方案應(yīng)能集中管理和代管密匙。
大多數(shù)新推出的移動(dòng)設(shè)備具有內(nèi)置的加密功能，例如某些安全USB驅(qū)動(dòng)，現(xiàn)在已經(jīng)在市場上有售。最新的筆記本上安裝了可靠的平臺(tái)模塊計(jì)算芯片，使硬盤加密成為可能。Vista操作系統(tǒng)的BitLocker功能與此類似，可以讓用戶對(duì)硬盤加密?！?biāo)準(zhǔn)化是關(guān)鍵
限定移動(dòng)策略的范圍。移動(dòng)策略應(yīng)該與公司的整體安全策略和規(guī)章制度相配合。同時(shí)，CIO應(yīng)該對(duì)面臨的問題持有實(shí)際的觀點(diǎn)。
在英提格瑞斯衛(wèi)生署，存儲(chǔ)有個(gè)人信息的設(shè)備關(guān)注，因此移動(dòng)策略很簡單：任何存儲(chǔ)有病人數(shù)據(jù)的醫(yī)療設(shè)備必須被加密。
但同時(shí)必須注意有哪些連帶的后果。在登錄連續(xù)失敗時(shí)鎖定設(shè)備將導(dǎo)致幫助中心受理更多求助電話。更合理的辦法是限制用戶在設(shè)備上安裝應(yīng)用軟件或攝像頭。
顯然，CIO必須保證公司的移動(dòng)設(shè)備無論何時(shí)何地都符合公司的政策法規(guī)。沒有發(fā)送狀態(tài)報(bào)告的設(shè)備必須被視為沒有遵守規(guī)定并中斷該設(shè)備對(duì)公司網(wǎng)絡(luò)的訪問。報(bào)告內(nèi)容還應(yīng)包括設(shè)備上存儲(chǔ)信息的詳細(xì)情況和設(shè)備的合法使用性。這些都要求在移動(dòng)設(shè)備和公司系統(tǒng)之間進(jìn)行雙向溝通和集中管理。
移動(dòng)技術(shù)風(fēng)險(xiǎn)解決方案還是個(gè)新事物，但這個(gè)市場已經(jīng)在迅猛發(fā)展。根據(jù)高德納公司(Gartner)于2006年8月發(fā)布的一份報(bào)告，這個(gè)市場中約有20家廠商，因此正確選擇廠商很重要。首先，關(guān)于實(shí)現(xiàn)公司的商業(yè)目標(biāo)需要哪些功能，應(yīng)在公司內(nèi)部達(dá)成一致意見。對(duì)于某些公司來說，保護(hù)隱私是最迫切的事情。對(duì)于另一些公司而言，減少幫助中心接到的求助電話數(shù)量更為重要。此外，還有合規(guī)的情況。通過進(jìn)行評(píng)估，CIO可以獲得寶貴的參考意見，從而正確理解哪些問題需要被解決，哪些缺陷必須被彌補(bǔ)。
除了業(yè)務(wù)能力，CIO們尤其需要注意廠商服務(wù)的可操作性。例如，廠商很難和每種最新的移動(dòng)設(shè)備保持同步，這就造成安全支持滯后于用戶使用。即使明知存在更大的風(fēng)險(xiǎn)，你也應(yīng)該在員工要求下允許他們使用最新式、最先進(jìn)的設(shè)備嗎?廠商可以提供什么樣的保證，以便在最短時(shí)間內(nèi)降低風(fēng)險(xiǎn)?即便公司其他部門沒有提出這些關(guān)鍵問題，運(yùn)營復(fù)雜性還是會(huì)給CIO們制造兩難困境，從而讓他們不得不在嚴(yán)格執(zhí)行政策和承擔(dān)一定風(fēng)險(xiǎn)之間進(jìn)行抉擇。
已經(jīng)來不及讓魔鬼重新回到瓶子里了。很多公司已經(jīng)認(rèn)識(shí)到移動(dòng)技術(shù)的好處并且已經(jīng)無法離開移動(dòng)設(shè)備。然而巨大的商業(yè)風(fēng)險(xiǎn)也不容忽視。設(shè)想這么一種情況：保險(xiǎn)理賠師可以使用一臺(tái)移動(dòng)智能手機(jī)拍照并立刻提交證據(jù)。在這種情況中，如果智能手機(jī)丟失，則意味著失去生產(chǎn)力，并且由于丟失數(shù)據(jù)而造成高額的直接和間接成本。
CIO們不能只依靠用戶來保護(hù)移動(dòng)設(shè)備上的數(shù)據(jù)，而應(yīng)該和不同的職能部門合作，制訂可實(shí)施的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略。那些成功地管理風(fēng)險(xiǎn)的CIO們將收獲商業(yè)利潤，并通過移動(dòng)技術(shù)推動(dòng)公司業(yè)務(wù)發(fā)展。
Nalneesh Gaur是鉆石管理和技術(shù)咨詢公司(Diamond Management and Technology Consultants)的主要負(fù)責(zé)人，Bob Kiep是該公司合伙人。
行之有效的安全策略
對(duì)照以下清單，制訂你的移動(dòng)安全方案
全面的移動(dòng)安全策略應(yīng)該在移動(dòng)設(shè)備大量增加時(shí)還能保持對(duì)設(shè)備功能的控制。
* 設(shè)備類型。除了筆記本電腦，監(jiān)管對(duì)象還必須包括PDA、智能手機(jī)、USB和GPS設(shè)備。
* 獲得許可的技術(shù)。對(duì)獲得許可的移動(dòng)運(yùn)營系統(tǒng)和無線網(wǎng)絡(luò)協(xié)議進(jìn)行歸納。目的在于增加而不是減少網(wǎng)絡(luò)訪問。
* 可靠的設(shè)備。公司對(duì)哪些移動(dòng)設(shè)備可以信任?確立這一標(biāo)準(zhǔn)。
* 數(shù)據(jù)保護(hù)辦法。著眼于靜態(tài)數(shù)據(jù)和使用中的數(shù)據(jù)。當(dāng)設(shè)備丟失，大多數(shù)情況下數(shù)據(jù)的價(jià)值大大高于設(shè)備本身。使用強(qiáng)大的認(rèn)證和加密功能。定期更換密匙，在一定次數(shù)的連續(xù)登錄失敗后鎖定用戶。
* 可訪問的信息。根據(jù)業(yè)務(wù)需求，限制對(duì)信息的訪問。一臺(tái)不被信任的移動(dòng)設(shè)備等于一個(gè)不被信任的用戶。
* 丟失的設(shè)備。當(dāng)移動(dòng)設(shè)備丟失或被盜后，會(huì)產(chǎn)生什么后果?補(bǔ)救辦法包括切斷對(duì)所存信息的訪問或銷毀全部數(shù)據(jù)。
* 業(yè)務(wù)運(yùn)營軟件。如果移動(dòng)設(shè)備安裝了業(yè)務(wù)運(yùn)營相關(guān)的應(yīng)用軟件，必須高度重視被這些軟件訪問并處理的信息--包括設(shè)備上安裝的業(yè)務(wù)運(yùn)營軟件和公司信息系統(tǒng)軟件。
今年2月，盜賊持槍搶劫了美國英提格瑞斯衛(wèi)生署(Integris)一家家庭醫(yī)療服務(wù)商的筆記本電腦。英提格瑞斯衛(wèi)生署的首席信息官(CIO)約翰·迪蘭諾(John Delano)面臨兩項(xiàng)首要任務(wù)：確保員工安全和保護(hù)筆記本電腦上的病人信息。幸運(yùn)的是，員工安然無恙，加密過的病人信息也絲毫無損。到目前為止，該公司的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略發(fā)揮了重要作用。
近來，人們對(duì)筆記本電腦、智能手機(jī)、便攜媒體等移動(dòng)技術(shù)的使用大大增加，同時(shí)也使商業(yè)信息面臨新的風(fēng)險(xiǎn)。根據(jù)安全咨詢機(jī)構(gòu)波耐蒙研究所(Ponemon Institute)在2006年發(fā)布的一份報(bào)告，超過54%的安全侵害行為是由于筆記本電腦、移動(dòng)設(shè)備或電子備份數(shù)據(jù)丟失引起的。目前美國幾個(gè)州政府已經(jīng)制訂了有關(guān)數(shù)據(jù)泄漏的法律條文--從另一個(gè)方面來看，這也促使CIO們對(duì)客戶信息保護(hù)工作予以高度重視。
盡管使用移動(dòng)設(shè)備存在風(fēng)險(xiǎn)，但由于他們能夠提高工作效率，同時(shí)也因?yàn)榛A(chǔ)設(shè)施更加完善，移動(dòng)設(shè)備用戶正在迅速增加。一份2006年的費(fèi)雷斯特(Forrester)報(bào)告顯示，幾乎三分之二的美國公司正在使用無線網(wǎng)絡(luò)，而移動(dòng)通話和數(shù)據(jù)傳輸?shù)馁M(fèi)用在去年的通信預(yù)算中占到近四分之一。
危機(jī)四伏
移動(dòng)技術(shù)、特別是那些被首席執(zhí)行官(CEO)、公司高管、銷售和顧問使用的移動(dòng)技術(shù)，往往涉及銷售額和電子郵件等極為敏感的公司資料。而最新的移動(dòng)設(shè)備具有更大的儲(chǔ)存容量和更強(qiáng)的互聯(lián)網(wǎng)訪問功能。
存儲(chǔ)量增大的后果是更多數(shù)據(jù)處于被盜、丟失或使用不當(dāng)?shù)娘L(fēng)險(xiǎn)之下，CIO們?yōu)榇松罡袚?dān)憂。同樣讓他們擔(dān)心的是，多數(shù)商業(yè)用戶不會(huì)在非安全的環(huán)境中采取適當(dāng)?shù)陌踩胧?。例如?003年發(fā)生了一次令人擔(dān)憂的事件：一臺(tái)從eBay購得的黑莓無線設(shè)備被發(fā)現(xiàn)存儲(chǔ)著1,000多人的姓名、電子郵件地址和電話號(hào)碼，以及200多封公司內(nèi)部郵件。出售這臺(tái)設(shè)備的人想當(dāng)然地認(rèn)為，卸下電池以后數(shù)據(jù)就會(huì)被全部刪除了，結(jié)果卻出乎他的意料。
同時(shí)，更多人對(duì)移動(dòng)環(huán)境發(fā)起攻擊。去年，反病毒廠商發(fā)現(xiàn)了200多種手機(jī)病毒。間諜軟件、網(wǎng)絡(luò)釣魚軟件、域名欺騙軟件、惡意軟件、零時(shí)差瀏覽器攻擊、以及僵尸網(wǎng)絡(luò)等攻擊軟件正在迅速蔓延。據(jù)Trend Micro公司的調(diào)查顯示，僅僅針對(duì)Windows智能手機(jī)設(shè)備，就已經(jīng)發(fā)現(xiàn)了約30種惡意軟件。微軟估計(jì)有將近一千兩百萬人在使用智能手機(jī)。
美國《加州參議院1386號(hào)法案》和《1996年健康保險(xiǎn)流通和責(zé)任法案》等隱私條例針對(duì)非公開的個(gè)人信息制定了披露標(biāo)準(zhǔn)和保護(hù)標(biāo)準(zhǔn)。法律規(guī)定，對(duì)那些獲取并存儲(chǔ)個(gè)人信息的公司來說，如果發(fā)現(xiàn)某個(gè)公司對(duì)個(gè)人身份信息處理不當(dāng)，該公司必須向公眾說明情況，這無疑是更大的挑戰(zhàn)。
以醫(yī)療領(lǐng)域?yàn)槔?，病人的個(gè)人信息存儲(chǔ)在醫(yī)生和護(hù)士的多種移動(dòng)設(shè)備上。今天，遠(yuǎn)程診斷中心可以向醫(yī)生的智能手機(jī)發(fā)送病人的心電圖。正因?yàn)橐苿?dòng)設(shè)備已經(jīng)變得不可缺少，《1996年健康保險(xiǎn)流通和責(zé)任法案》將保護(hù)病人信息作為絕對(duì)強(qiáng)制性的要求。根據(jù)聯(lián)邦法律，對(duì)醫(yī)療信息使用不當(dāng)將牽涉到一定程度的刑事和民事責(zé)任，有可能遭到25萬美元的罰款和長達(dá)10年的監(jiān)禁。
在這一背景下，因?yàn)樵馐軘?shù)據(jù)侵害而丟失個(gè)人信息已經(jīng)成為超越IT部門的商業(yè)問題。負(fù)面的公眾形象是昂貴而難堪的，這將使消費(fèi)者和投資者失去信心?！≈朴啈?zhàn)略
為了與這些風(fēng)險(xiǎn)進(jìn)行有成效的斗爭，我們推薦制訂一個(gè)全公司范圍的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略，以指導(dǎo)公司進(jìn)行問題評(píng)估，制訂與潛在商業(yè)影響相符的預(yù)算，并將任何技術(shù)上、步驟上和組織結(jié)構(gòu)上的解決方案作為頭等大事來抓，從而降低風(fēng)險(xiǎn)。
在制訂這一方案的過程中，CIO必須動(dòng)員公司全體部門，調(diào)動(dòng)市場部、法律部和客戶關(guān)系部，還要與首席信息安全官(CISO)和其他風(fēng)險(xiǎn)經(jīng)理們通力合作。在制訂移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略時(shí)，應(yīng)先按照以下步驟確定公司的安全需求：
* 在全公司范圍盤點(diǎn)移動(dòng)技術(shù)。對(duì)大公司的庫存進(jìn)行評(píng)估是件非常困難的事情，因此可以選取有代表性的員工組合作為樣本，并在移動(dòng)主機(jī)上安裝多種工具。
可以考慮從以下問題入手："公司里哪些人在使用移動(dòng)技術(shù)，目的是什么?他們使用著哪些類型的移動(dòng)技術(shù)?使用頻率和地點(diǎn)如何?"
然后檢查存儲(chǔ)的數(shù)據(jù)性質(zhì)和安全措施。哪些類型的信息在該設(shè)備和公司系統(tǒng)之間傳輸?該設(shè)備得到哪些認(rèn)證機(jī)制的保護(hù)?存儲(chǔ)了哪些信息?有多少數(shù)據(jù)被加密?
最后，考慮當(dāng)前和未來的技術(shù)需求。什么類型的技術(shù)有可能被使用?同步或備份移動(dòng)設(shè)備時(shí)使用的什么軟件?替換或處理舊設(shè)備的現(xiàn)有辦法是什么?
* 對(duì)數(shù)據(jù)侵害的影響進(jìn)行評(píng)估，確定風(fēng)險(xiǎn)管理的預(yù)算。CIO需要評(píng)估數(shù)據(jù)侵害的威脅并理解其對(duì)公司業(yè)務(wù)的影響，必須讓所有業(yè)務(wù)部門的高級(jí)管理人員了解分析結(jié)果。
一家《財(cái)富》100強(qiáng)公司的首席安全官通過監(jiān)測100天時(shí)間段內(nèi)受到多少次攻擊來解決這個(gè)問題。關(guān)于數(shù)據(jù)丟失帶來的成本，他的IT團(tuán)隊(duì)在幾周后給出了一個(gè)實(shí)際的估計(jì)值--這一數(shù)字幫助這位首席安全官說服了其他高級(jí)主管。這個(gè)估計(jì)值不但促使這家公司對(duì)移動(dòng)安全戰(zhàn)略進(jìn)行全面調(diào)整，還將丟失數(shù)據(jù)帶來的成本、安全運(yùn)營的附加成本及安全侵害對(duì)公司品牌和信譽(yù)造成的影響一一量化。
波耐蒙研究所于2006年8月發(fā)布的一份報(bào)告顯示，數(shù)據(jù)侵害造成的直接增量成本可以被量化：即平均每條丟失記錄的損失為54美元。如果數(shù)據(jù)侵害是小規(guī)模的，這一成本甚至更高，因?yàn)榉伞⑼ㄐ藕腿肆Τ杀镜姆謹(jǐn)傎M(fèi)用增大了。
高級(jí)管理層需要認(rèn)識(shí)到成本之外的其它后果。數(shù)據(jù)侵害還可能導(dǎo)致集體訴訟、市場價(jià)值受損、業(yè)務(wù)關(guān)系中斷、甚至公司破產(chǎn)。如果上升到法律的高度，侵入事件還可能導(dǎo)致罰款和處罰--公司管理層甚至可能因?yàn)樵诒Ｗo(hù)客戶個(gè)人信息方面犯有失職罪而面臨牢獄之災(zāi)。
執(zhí)行戰(zhàn)略
根據(jù)公司的具體需求勾勒出戰(zhàn)略輪廓后，下一個(gè)問題是確定實(shí)施辦法。在為移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略制訂路線圖時(shí)，請(qǐng)考慮以下幾個(gè)方面的內(nèi)容。
標(biāo)準(zhǔn)化是管理移動(dòng)設(shè)備的辦法之一，但如果公司擁有大量不同的移動(dòng)設(shè)備和多種操作系統(tǒng)，標(biāo)準(zhǔn)化就比較困難了。針對(duì)這個(gè)問題，可以通過制訂一套標(biāo)準(zhǔn)程序來有效管理移動(dòng)設(shè)備的采購、分配、替換、更新，以及管理丟失和鎖定的設(shè)備，并加強(qiáng)IT幫助中心的能力，集中管理各種設(shè)備。
移動(dòng)平臺(tái)管理解決方案會(huì)提供一個(gè)集中控制面板，讓全部移動(dòng)設(shè)備的安全設(shè)置保持一致。
定期審查和匯報(bào)也非常重要。最基本的一點(diǎn)，公司需要隨時(shí)掌握各臺(tái)設(shè)備是否遵守規(guī)定。CIO們還應(yīng)了解每臺(tái)移動(dòng)設(shè)備上存儲(chǔ)的商業(yè)信息類型。
移動(dòng)數(shù)據(jù)安全戰(zhàn)略的執(zhí)行措施包括：確定策略，保護(hù)移動(dòng)設(shè)備上的數(shù)據(jù)，對(duì)設(shè)備和用戶進(jìn)行認(rèn)證，監(jiān)控策略執(zhí)行情況并撰寫報(bào)告。
為了預(yù)防移動(dòng)設(shè)備丟失或被盜，執(zhí)行方案通常提供數(shù)據(jù)加密的功能。公司應(yīng)確保即使丟失密匙也能夠恢復(fù)數(shù)據(jù)。一個(gè)強(qiáng)大的管理方案應(yīng)能集中管理和代管密匙。
大多數(shù)新推出的移動(dòng)設(shè)備具有內(nèi)置的加密功能，例如某些安全USB驅(qū)動(dòng)，現(xiàn)在已經(jīng)在市場上有售。最新的筆記本上安裝了可靠的平臺(tái)模塊計(jì)算芯片，使硬盤加密成為可能。Vista操作系統(tǒng)的BitLocker功能與此類似，可以讓用戶對(duì)硬盤加密?！?biāo)準(zhǔn)化是關(guān)鍵
限定移動(dòng)策略的范圍。移動(dòng)策略應(yīng)該與公司的整體安全策略和規(guī)章制度相配合。同時(shí)，CIO應(yīng)該對(duì)面臨的問題持有實(shí)際的觀點(diǎn)。
在英提格瑞斯衛(wèi)生署，存儲(chǔ)有個(gè)人信息的設(shè)備關(guān)注，因此移動(dòng)策略很簡單：任何存儲(chǔ)有病人數(shù)據(jù)的醫(yī)療設(shè)備必須被加密。
但同時(shí)必須注意有哪些連帶的后果。在登錄連續(xù)失敗時(shí)鎖定設(shè)備將導(dǎo)致幫助中心受理更多求助電話。更合理的辦法是限制用戶在設(shè)備上安裝應(yīng)用軟件或攝像頭。
顯然，CIO必須保證公司的移動(dòng)設(shè)備無論何時(shí)何地都符合公司的政策法規(guī)。沒有發(fā)送狀態(tài)報(bào)告的設(shè)備必須被視為沒有遵守規(guī)定并中斷該設(shè)備對(duì)公司網(wǎng)絡(luò)的訪問。報(bào)告內(nèi)容還應(yīng)包括設(shè)備上存儲(chǔ)信息的詳細(xì)情況和設(shè)備的合法使用性。這些都要求在移動(dòng)設(shè)備和公司系統(tǒng)之間進(jìn)行雙向溝通和集中管理。
移動(dòng)技術(shù)風(fēng)險(xiǎn)解決方案還是個(gè)新事物，但這個(gè)市場已經(jīng)在迅猛發(fā)展。根據(jù)高德納公司(Gartner)于2006年8月發(fā)布的一份報(bào)告，這個(gè)市場中約有20家廠商，因此正確選擇廠商很重要。首先，關(guān)于實(shí)現(xiàn)公司的商業(yè)目標(biāo)需要哪些功能，應(yīng)在公司內(nèi)部達(dá)成一致意見。對(duì)于某些公司來說，保護(hù)隱私是最迫切的事情。對(duì)于另一些公司而言，減少幫助中心接到的求助電話數(shù)量更為重要。此外，還有合規(guī)的情況。通過進(jìn)行評(píng)估，CIO可以獲得寶貴的參考意見，從而正確理解哪些問題需要被解決，哪些缺陷必須被彌補(bǔ)。
除了業(yè)務(wù)能力，CIO們尤其需要注意廠商服務(wù)的可操作性。例如，廠商很難和每種最新的移動(dòng)設(shè)備保持同步，這就造成安全支持滯后于用戶使用。即使明知存在更大的風(fēng)險(xiǎn)，你也應(yīng)該在員工要求下允許他們使用最新式、最先進(jìn)的設(shè)備嗎?廠商可以提供什么樣的保證，以便在最短時(shí)間內(nèi)降低風(fēng)險(xiǎn)?即便公司其他部門沒有提出這些關(guān)鍵問題，運(yùn)營復(fù)雜性還是會(huì)給CIO們制造兩難困境，從而讓他們不得不在嚴(yán)格執(zhí)行政策和承擔(dān)一定風(fēng)險(xiǎn)之間進(jìn)行抉擇。
已經(jīng)來不及讓魔鬼重新回到瓶子里了。很多公司已經(jīng)認(rèn)識(shí)到移動(dòng)技術(shù)的好處并且已經(jīng)無法離開移動(dòng)設(shè)備。然而巨大的商業(yè)風(fēng)險(xiǎn)也不容忽視。設(shè)想這么一種情況：保險(xiǎn)理賠師可以使用一臺(tái)移動(dòng)智能手機(jī)拍照并立刻提交證據(jù)。在這種情況中，如果智能手機(jī)丟失，則意味著失去生產(chǎn)力，并且由于丟失數(shù)據(jù)而造成高額的直接和間接成本。
CIO們不能只依靠用戶來保護(hù)移動(dòng)設(shè)備上的數(shù)據(jù)，而應(yīng)該和不同的職能部門合作，制訂可實(shí)施的移動(dòng)技術(shù)風(fēng)險(xiǎn)戰(zhàn)略。那些成功地管理風(fēng)險(xiǎn)的CIO們將收獲商業(yè)利潤，并通過移動(dòng)技術(shù)推動(dòng)公司業(yè)務(wù)發(fā)展。
Nalneesh Gaur是鉆石管理和技術(shù)咨詢公司(Diamond Management and Technology Consultants)的主要負(fù)責(zé)人，Bob Kiep是該公司合伙人。
行之有效的安全策略
對(duì)照以下清單，制訂你的移動(dòng)安全方案
全面的移動(dòng)安全策略應(yīng)該在移動(dòng)設(shè)備大量增加時(shí)還能保持對(duì)設(shè)備功能的控制。
* 設(shè)備類型。除了筆記本電腦，監(jiān)管對(duì)象還必須包括PDA、智能手機(jī)、USB和GPS設(shè)備。
* 獲得許可的技術(shù)。對(duì)獲得許可的移動(dòng)運(yùn)營系統(tǒng)和無線網(wǎng)絡(luò)協(xié)議進(jìn)行歸納。目的在于增加而不是減少網(wǎng)絡(luò)訪問。
* 可靠的設(shè)備。公司對(duì)哪些移動(dòng)設(shè)備可以信任?確立這一標(biāo)準(zhǔn)。
* 數(shù)據(jù)保護(hù)辦法。著眼于靜態(tài)數(shù)據(jù)和使用中的數(shù)據(jù)。當(dāng)設(shè)備丟失，大多數(shù)情況下數(shù)據(jù)的價(jià)值大大高于設(shè)備本身。使用強(qiáng)大的認(rèn)證和加密功能。定期更換密匙，在一定次數(shù)的連續(xù)登錄失敗后鎖定用戶。
* 可訪問的信息。根據(jù)業(yè)務(wù)需求，限制對(duì)信息的訪問。一臺(tái)不被信任的移動(dòng)設(shè)備等于一個(gè)不被信任的用戶。
* 丟失的設(shè)備。當(dāng)移動(dòng)設(shè)備丟失或被盜后，會(huì)產(chǎn)生什么后果?補(bǔ)救辦法包括切斷對(duì)所存信息的訪問或銷毀全部數(shù)據(jù)。
* 業(yè)務(wù)運(yùn)營軟件。如果移動(dòng)設(shè)備安裝了業(yè)務(wù)運(yùn)營相關(guān)的應(yīng)用軟件，必須高度重視被這些軟件訪問并處理的信息--包括設(shè)備上安裝的業(yè)務(wù)運(yùn)營軟件和公司信息系統(tǒng)軟件。