如果信息技術(shù)無處不在，誰來負責(zé)安全風(fēng)險?讀過本文，即便最棘手的風(fēng)險問題也將迎刃而解。
今年2月，盜賊持槍搶劫了美國英提格瑞斯衛(wèi)生署(Integris)一家家庭醫(yī)療服務(wù)商的筆記本電腦。英提格瑞斯衛(wèi)生署的首席信息官(CIO)約翰·迪蘭諾(John Delano)面臨兩項首要任務(wù)：確保員工安全和保護筆記本電腦上的病人信息。幸運的是，員工安然無恙，加密過的病人信息也絲毫無損。到目前為止，該公司的移動技術(shù)風(fēng)險戰(zhàn)略發(fā)揮了重要作用。
近來，人們對筆記本電腦、智能手機、便攜媒體等移動技術(shù)的使用大大增加，同時也使商業(yè)信息面臨新的風(fēng)險。根據(jù)安全咨詢機構(gòu)波耐蒙研究所(Ponemon Institute)在2006年發(fā)布的一份報告，超過54%的安全侵害行為是由于筆記本電腦、移動設(shè)備或電子備份數(shù)據(jù)丟失引起的。目前美國幾個州政府已經(jīng)制訂了有關(guān)數(shù)據(jù)泄漏的法律條文--從另一個方面來看，這也促使CIO們對客戶信息保護工作予以高度重視。
盡管使用移動設(shè)備存在風(fēng)險，但由于他們能夠提高工作效率，同時也因為基礎(chǔ)設(shè)施更加完善，移動設(shè)備用戶正在迅速增加。一份2006年的費雷斯特(Forrester)報告顯示，幾乎三分之二的美國公司正在使用無線網(wǎng)絡(luò)，而移動通話和數(shù)據(jù)傳輸?shù)馁M用在去年的通信預(yù)算中占到近四分之一。
危機四伏
移動技術(shù)、特別是那些被首席執(zhí)行官(CEO)、公司高管、銷售和顧問使用的移動技術(shù)，往往涉及銷售額和電子郵件等極為敏感的公司資料。而最新的移動設(shè)備具有更大的儲存容量和更強的互聯(lián)網(wǎng)訪問功能。
存儲量增大的后果是更多數(shù)據(jù)處于被盜、丟失或使用不當(dāng)?shù)娘L(fēng)險之下，CIO們?yōu)榇松罡袚?dān)憂。同樣讓他們擔(dān)心的是，多數(shù)商業(yè)用戶不會在非安全的環(huán)境中采取適當(dāng)?shù)陌踩胧?。例如?003年發(fā)生了一次令人擔(dān)憂的事件：一臺從eBay購得的黑莓無線設(shè)備被發(fā)現(xiàn)存儲著1,000多人的姓名、電子郵件地址和電話號碼，以及200多封公司內(nèi)部郵件。出售這臺設(shè)備的人想當(dāng)然地認為，卸下電池以后數(shù)據(jù)就會被全部刪除了，結(jié)果卻出乎他的意料。
同時，更多人對移動環(huán)境發(fā)起攻擊。去年，反病毒廠商發(fā)現(xiàn)了200多種手機病毒。間諜軟件、網(wǎng)絡(luò)釣魚軟件、域名欺騙軟件、惡意軟件、零時差瀏覽器攻擊、以及僵尸網(wǎng)絡(luò)等攻擊軟件正在迅速蔓延。據(jù)Trend Micro公司的調(diào)查顯示，僅僅針對Windows智能手機設(shè)備，就已經(jīng)發(fā)現(xiàn)了約30種惡意軟件。微軟估計有將近一千兩百萬人在使用智能手機。
美國《加州參議院1386號法案》和《1996年健康保險流通和責(zé)任法案》等隱私條例針對非公開的個人信息制定了披露標(biāo)準(zhǔn)和保護標(biāo)準(zhǔn)。法律規(guī)定，對那些獲取并存儲個人信息的公司來說，如果發(fā)現(xiàn)某個公司對個人身份信息處理不當(dāng)，該公司必須向公眾說明情況，這無疑是更大的挑戰(zhàn)。
以醫(yī)療領(lǐng)域為例，病人的個人信息存儲在醫(yī)生和護士的多種移動設(shè)備上。今天，遠程診斷中心可以向醫(yī)生的智能手機發(fā)送病人的心電圖。正因為移動設(shè)備已經(jīng)變得不可缺少，《1996年健康保險流通和責(zé)任法案》將保護病人信息作為絕對強制性的要求。根據(jù)聯(lián)邦法律，對醫(yī)療信息使用不當(dāng)將牽涉到一定程度的刑事和民事責(zé)任，有可能遭到25萬美元的罰款和長達10年的監(jiān)禁。
在這一背景下，因為遭受數(shù)據(jù)侵害而丟失個人信息已經(jīng)成為超越IT部門的商業(yè)問題。負面的公眾形象是昂貴而難堪的，這將使消費者和投資者失去信心?！≈朴啈?zhàn)略
為了與這些風(fēng)險進行有成效的斗爭，我們推薦制訂一個全公司范圍的移動技術(shù)風(fēng)險戰(zhàn)略，以指導(dǎo)公司進行問題評估，制訂與潛在商業(yè)影響相符的預(yù)算，并將任何技術(shù)上、步驟上和組織結(jié)構(gòu)上的解決方案作為頭等大事來抓，從而降低風(fēng)險。
在制訂這一方案的過程中，CIO必須動員公司全體部門，調(diào)動市場部、法律部和客戶關(guān)系部，還要與首席信息安全官(CISO)和其他風(fēng)險經(jīng)理們通力合作。在制訂移動技術(shù)風(fēng)險戰(zhàn)略時，應(yīng)先按照以下步驟確定公司的安全需求：
* 在全公司范圍盤點移動技術(shù)。對大公司的庫存進行評估是件非常困難的事情，因此可以選取有代表性的員工組合作為樣本，并在移動主機上安裝多種工具。
可以考慮從以下問題入手："公司里哪些人在使用移動技術(shù)，目的是什么?他們使用著哪些類型的移動技術(shù)?使用頻率和地點如何?"
然后檢查存儲的數(shù)據(jù)性質(zhì)和安全措施。哪些類型的信息在該設(shè)備和公司系統(tǒng)之間傳輸?該設(shè)備得到哪些認證機制的保護?存儲了哪些信息?有多少數(shù)據(jù)被加密?
最后，考慮當(dāng)前和未來的技術(shù)需求。什么類型的技術(shù)有可能被使用?同步或備份移動設(shè)備時使用的什么軟件?替換或處理舊設(shè)備的現(xiàn)有辦法是什么?
* 對數(shù)據(jù)侵害的影響進行評估，確定風(fēng)險管理的預(yù)算。CIO需要評估數(shù)據(jù)侵害的威脅并理解其對公司業(yè)務(wù)的影響，必須讓所有業(yè)務(wù)部門的高級管理人員了解分析結(jié)果。
一家《財富》100強公司的首席安全官通過監(jiān)測100天時間段內(nèi)受到多少次攻擊來解決這個問題。關(guān)于數(shù)據(jù)丟失帶來的成本，他的IT團隊在幾周后給出了一個實際的估計值--這一數(shù)字幫助這位首席安全官說服了其他高級主管。這個估計值不但促使這家公司對移動安全戰(zhàn)略進行全面調(diào)整，還將丟失數(shù)據(jù)帶來的成本、安全運營的附加成本及安全侵害對公司品牌和信譽造成的影響一一量化。
波耐蒙研究所于2006年8月發(fā)布的一份報告顯示，數(shù)據(jù)侵害造成的直接增量成本可以被量化：即平均每條丟失記錄的損失為54美元。如果數(shù)據(jù)侵害是小規(guī)模的，這一成本甚至更高，因為法律、通信和人力成本的分攤費用增大了。
高級管理層需要認識到成本之外的其它后果。數(shù)據(jù)侵害還可能導(dǎo)致集體訴訟、市場價值受損、業(yè)務(wù)關(guān)系中斷、甚至公司破產(chǎn)。如果上升到法律的高度，侵入事件還可能導(dǎo)致罰款和處罰--公司管理層甚至可能因為在保護客戶個人信息方面犯有失職罪而面臨牢獄之災(zāi)。
執(zhí)行戰(zhàn)略
根據(jù)公司的具體需求勾勒出戰(zhàn)略輪廓后，下一個問題是確定實施辦法。在為移動技術(shù)風(fēng)險戰(zhàn)略制訂路線圖時，請考慮以下幾個方面的內(nèi)容。
標(biāo)準(zhǔn)化是管理移動設(shè)備的辦法之一，但如果公司擁有大量不同的移動設(shè)備和多種操作系統(tǒng)，標(biāo)準(zhǔn)化就比較困難了。針對這個問題，可以通過制訂一套標(biāo)準(zhǔn)程序來有效管理移動設(shè)備的采購、分配、替換、更新，以及管理丟失和鎖定的設(shè)備，并加強IT幫助中心的能力，集中管理各種設(shè)備。
移動平臺管理解決方案會提供一個集中控制面板，讓全部移動設(shè)備的安全設(shè)置保持一致。
定期審查和匯報也非常重要。最基本的一點，公司需要隨時掌握各臺設(shè)備是否遵守規(guī)定。CIO們還應(yīng)了解每臺移動設(shè)備上存儲的商業(yè)信息類型。
移動數(shù)據(jù)安全戰(zhàn)略的執(zhí)行措施包括：確定策略，保護移動設(shè)備上的數(shù)據(jù)，對設(shè)備和用戶進行認證，監(jiān)控策略執(zhí)行情況并撰寫報告。
為了預(yù)防移動設(shè)備丟失或被盜，執(zhí)行方案通常提供數(shù)據(jù)加密的功能。公司應(yīng)確保即使丟失密匙也能夠恢復(fù)數(shù)據(jù)。一個強大的管理方案應(yīng)能集中管理和代管密匙。
大多數(shù)新推出的移動設(shè)備具有內(nèi)置的加密功能，例如某些安全USB驅(qū)動，現(xiàn)在已經(jīng)在市場上有售。最新的筆記本上安裝了可靠的平臺模塊計算芯片，使硬盤加密成為可能。Vista操作系統(tǒng)的BitLocker功能與此類似，可以讓用戶對硬盤加密?！?biāo)準(zhǔn)化是關(guān)鍵
限定移動策略的范圍。移動策略應(yīng)該與公司的整體安全策略和規(guī)章制度相配合。同時，CIO應(yīng)該對面臨的問題持有實際的觀點。
在英提格瑞斯衛(wèi)生署，存儲有個人信息的設(shè)備關(guān)注，因此移動策略很簡單：任何存儲有病人數(shù)據(jù)的醫(yī)療設(shè)備必須被加密。
但同時必須注意有哪些連帶的后果。在登錄連續(xù)失敗時鎖定設(shè)備將導(dǎo)致幫助中心受理更多求助電話。更合理的辦法是限制用戶在設(shè)備上安裝應(yīng)用軟件或攝像頭。
顯然，CIO必須保證公司的移動設(shè)備無論何時何地都符合公司的政策法規(guī)。沒有發(fā)送狀態(tài)報告的設(shè)備必須被視為沒有遵守規(guī)定并中斷該設(shè)備對公司網(wǎng)絡(luò)的訪問。報告內(nèi)容還應(yīng)包括設(shè)備上存儲信息的詳細情況和設(shè)備的合法使用性。這些都要求在移動設(shè)備和公司系統(tǒng)之間進行雙向溝通和集中管理。
移動技術(shù)風(fēng)險解決方案還是個新事物，但這個市場已經(jīng)在迅猛發(fā)展。根據(jù)高德納公司(Gartner)于2006年8月發(fā)布的一份報告，這個市場中約有20家廠商，因此正確選擇廠商很重要。首先，關(guān)于實現(xiàn)公司的商業(yè)目標(biāo)需要哪些功能，應(yīng)在公司內(nèi)部達成一致意見。對于某些公司來說，保護隱私是最迫切的事情。對于另一些公司而言，減少幫助中心接到的求助電話數(shù)量更為重要。此外，還有合規(guī)的情況。通過進行評估，CIO可以獲得寶貴的參考意見，從而正確理解哪些問題需要被解決，哪些缺陷必須被彌補。
除了業(yè)務(wù)能力，CIO們尤其需要注意廠商服務(wù)的可操作性。例如，廠商很難和每種最新的移動設(shè)備保持同步，這就造成安全支持滯后于用戶使用。即使明知存在更大的風(fēng)險，你也應(yīng)該在員工要求下允許他們使用最新式、最先進的設(shè)備嗎?廠商可以提供什么樣的保證，以便在最短時間內(nèi)降低風(fēng)險?即便公司其他部門沒有提出這些關(guān)鍵問題，運營復(fù)雜性還是會給CIO們制造兩難困境，從而讓他們不得不在嚴格執(zhí)行政策和承擔(dān)一定風(fēng)險之間進行抉擇。
已經(jīng)來不及讓魔鬼重新回到瓶子里了。很多公司已經(jīng)認識到移動技術(shù)的好處并且已經(jīng)無法離開移動設(shè)備。然而巨大的商業(yè)風(fēng)險也不容忽視。設(shè)想這么一種情況：保險理賠師可以使用一臺移動智能手機拍照并立刻提交證據(jù)。在這種情況中，如果智能手機丟失，則意味著失去生產(chǎn)力，并且由于丟失數(shù)據(jù)而造成高額的直接和間接成本。
CIO們不能只依靠用戶來保護移動設(shè)備上的數(shù)據(jù)，而應(yīng)該和不同的職能部門合作，制訂可實施的移動技術(shù)風(fēng)險戰(zhàn)略。那些成功地管理風(fēng)險的CIO們將收獲商業(yè)利潤，并通過移動技術(shù)推動公司業(yè)務(wù)發(fā)展。
Nalneesh Gaur是鉆石管理和技術(shù)咨詢公司(Diamond Management and Technology Consultants)的主要負責(zé)人，Bob Kiep是該公司合伙人。
行之有效的安全策略
對照以下清單，制訂你的移動安全方案
全面的移動安全策略應(yīng)該在移動設(shè)備大量增加時還能保持對設(shè)備功能的控制。
* 設(shè)備類型。除了筆記本電腦，監(jiān)管對象還必須包括PDA、智能手機、USB和GPS設(shè)備。
* 獲得許可的技術(shù)。對獲得許可的移動運營系統(tǒng)和無線網(wǎng)絡(luò)協(xié)議進行歸納。目的在于增加而不是減少網(wǎng)絡(luò)訪問。
* 可靠的設(shè)備。公司對哪些移動設(shè)備可以信任?確立這一標(biāo)準(zhǔn)。
* 數(shù)據(jù)保護辦法。著眼于靜態(tài)數(shù)據(jù)和使用中的數(shù)據(jù)。當(dāng)設(shè)備丟失，大多數(shù)情況下數(shù)據(jù)的價值大大高于設(shè)備本身。使用強大的認證和加密功能。定期更換密匙，在一定次數(shù)的連續(xù)登錄失敗后鎖定用戶。
* 可訪問的信息。根據(jù)業(yè)務(wù)需求，限制對信息的訪問。一臺不被信任的移動設(shè)備等于一個不被信任的用戶。
* 丟失的設(shè)備。當(dāng)移動設(shè)備丟失或被盜后，會產(chǎn)生什么后果?補救辦法包括切斷對所存信息的訪問或銷毀全部數(shù)據(jù)。
* 業(yè)務(wù)運營軟件。如果移動設(shè)備安裝了業(yè)務(wù)運營相關(guān)的應(yīng)用軟件，必須高度重視被這些軟件訪問并處理的信息--包括設(shè)備上安裝的業(yè)務(wù)運營軟件和公司信息系統(tǒng)軟件。
今年2月，盜賊持槍搶劫了美國英提格瑞斯衛(wèi)生署(Integris)一家家庭醫(yī)療服務(wù)商的筆記本電腦。英提格瑞斯衛(wèi)生署的首席信息官(CIO)約翰·迪蘭諾(John Delano)面臨兩項首要任務(wù)：確保員工安全和保護筆記本電腦上的病人信息。幸運的是，員工安然無恙，加密過的病人信息也絲毫無損。到目前為止，該公司的移動技術(shù)風(fēng)險戰(zhàn)略發(fā)揮了重要作用。
近來，人們對筆記本電腦、智能手機、便攜媒體等移動技術(shù)的使用大大增加，同時也使商業(yè)信息面臨新的風(fēng)險。根據(jù)安全咨詢機構(gòu)波耐蒙研究所(Ponemon Institute)在2006年發(fā)布的一份報告，超過54%的安全侵害行為是由于筆記本電腦、移動設(shè)備或電子備份數(shù)據(jù)丟失引起的。目前美國幾個州政府已經(jīng)制訂了有關(guān)數(shù)據(jù)泄漏的法律條文--從另一個方面來看，這也促使CIO們對客戶信息保護工作予以高度重視。
盡管使用移動設(shè)備存在風(fēng)險，但由于他們能夠提高工作效率，同時也因為基礎(chǔ)設(shè)施更加完善，移動設(shè)備用戶正在迅速增加。一份2006年的費雷斯特(Forrester)報告顯示，幾乎三分之二的美國公司正在使用無線網(wǎng)絡(luò)，而移動通話和數(shù)據(jù)傳輸?shù)馁M用在去年的通信預(yù)算中占到近四分之一。
危機四伏
移動技術(shù)、特別是那些被首席執(zhí)行官(CEO)、公司高管、銷售和顧問使用的移動技術(shù)，往往涉及銷售額和電子郵件等極為敏感的公司資料。而最新的移動設(shè)備具有更大的儲存容量和更強的互聯(lián)網(wǎng)訪問功能。
存儲量增大的后果是更多數(shù)據(jù)處于被盜、丟失或使用不當(dāng)?shù)娘L(fēng)險之下，CIO們?yōu)榇松罡袚?dān)憂。同樣讓他們擔(dān)心的是，多數(shù)商業(yè)用戶不會在非安全的環(huán)境中采取適當(dāng)?shù)陌踩胧?。例如?003年發(fā)生了一次令人擔(dān)憂的事件：一臺從eBay購得的黑莓無線設(shè)備被發(fā)現(xiàn)存儲著1,000多人的姓名、電子郵件地址和電話號碼，以及200多封公司內(nèi)部郵件。出售這臺設(shè)備的人想當(dāng)然地認為，卸下電池以后數(shù)據(jù)就會被全部刪除了，結(jié)果卻出乎他的意料。
同時，更多人對移動環(huán)境發(fā)起攻擊。去年，反病毒廠商發(fā)現(xiàn)了200多種手機病毒。間諜軟件、網(wǎng)絡(luò)釣魚軟件、域名欺騙軟件、惡意軟件、零時差瀏覽器攻擊、以及僵尸網(wǎng)絡(luò)等攻擊軟件正在迅速蔓延。據(jù)Trend Micro公司的調(diào)查顯示，僅僅針對Windows智能手機設(shè)備，就已經(jīng)發(fā)現(xiàn)了約30種惡意軟件。微軟估計有將近一千兩百萬人在使用智能手機。
美國《加州參議院1386號法案》和《1996年健康保險流通和責(zé)任法案》等隱私條例針對非公開的個人信息制定了披露標(biāo)準(zhǔn)和保護標(biāo)準(zhǔn)。法律規(guī)定，對那些獲取并存儲個人信息的公司來說，如果發(fā)現(xiàn)某個公司對個人身份信息處理不當(dāng)，該公司必須向公眾說明情況，這無疑是更大的挑戰(zhàn)。
以醫(yī)療領(lǐng)域為例，病人的個人信息存儲在醫(yī)生和護士的多種移動設(shè)備上。今天，遠程診斷中心可以向醫(yī)生的智能手機發(fā)送病人的心電圖。正因為移動設(shè)備已經(jīng)變得不可缺少，《1996年健康保險流通和責(zé)任法案》將保護病人信息作為絕對強制性的要求。根據(jù)聯(lián)邦法律，對醫(yī)療信息使用不當(dāng)將牽涉到一定程度的刑事和民事責(zé)任，有可能遭到25萬美元的罰款和長達10年的監(jiān)禁。
在這一背景下，因為遭受數(shù)據(jù)侵害而丟失個人信息已經(jīng)成為超越IT部門的商業(yè)問題。負面的公眾形象是昂貴而難堪的，這將使消費者和投資者失去信心?！≈朴啈?zhàn)略
為了與這些風(fēng)險進行有成效的斗爭，我們推薦制訂一個全公司范圍的移動技術(shù)風(fēng)險戰(zhàn)略，以指導(dǎo)公司進行問題評估，制訂與潛在商業(yè)影響相符的預(yù)算，并將任何技術(shù)上、步驟上和組織結(jié)構(gòu)上的解決方案作為頭等大事來抓，從而降低風(fēng)險。
在制訂這一方案的過程中，CIO必須動員公司全體部門，調(diào)動市場部、法律部和客戶關(guān)系部，還要與首席信息安全官(CISO)和其他風(fēng)險經(jīng)理們通力合作。在制訂移動技術(shù)風(fēng)險戰(zhàn)略時，應(yīng)先按照以下步驟確定公司的安全需求：
* 在全公司范圍盤點移動技術(shù)。對大公司的庫存進行評估是件非常困難的事情，因此可以選取有代表性的員工組合作為樣本，并在移動主機上安裝多種工具。
可以考慮從以下問題入手："公司里哪些人在使用移動技術(shù)，目的是什么?他們使用著哪些類型的移動技術(shù)?使用頻率和地點如何?"
然后檢查存儲的數(shù)據(jù)性質(zhì)和安全措施。哪些類型的信息在該設(shè)備和公司系統(tǒng)之間傳輸?該設(shè)備得到哪些認證機制的保護?存儲了哪些信息?有多少數(shù)據(jù)被加密?
最后，考慮當(dāng)前和未來的技術(shù)需求。什么類型的技術(shù)有可能被使用?同步或備份移動設(shè)備時使用的什么軟件?替換或處理舊設(shè)備的現(xiàn)有辦法是什么?
* 對數(shù)據(jù)侵害的影響進行評估，確定風(fēng)險管理的預(yù)算。CIO需要評估數(shù)據(jù)侵害的威脅并理解其對公司業(yè)務(wù)的影響，必須讓所有業(yè)務(wù)部門的高級管理人員了解分析結(jié)果。
一家《財富》100強公司的首席安全官通過監(jiān)測100天時間段內(nèi)受到多少次攻擊來解決這個問題。關(guān)于數(shù)據(jù)丟失帶來的成本，他的IT團隊在幾周后給出了一個實際的估計值--這一數(shù)字幫助這位首席安全官說服了其他高級主管。這個估計值不但促使這家公司對移動安全戰(zhàn)略進行全面調(diào)整，還將丟失數(shù)據(jù)帶來的成本、安全運營的附加成本及安全侵害對公司品牌和信譽造成的影響一一量化。
波耐蒙研究所于2006年8月發(fā)布的一份報告顯示，數(shù)據(jù)侵害造成的直接增量成本可以被量化：即平均每條丟失記錄的損失為54美元。如果數(shù)據(jù)侵害是小規(guī)模的，這一成本甚至更高，因為法律、通信和人力成本的分攤費用增大了。
高級管理層需要認識到成本之外的其它后果。數(shù)據(jù)侵害還可能導(dǎo)致集體訴訟、市場價值受損、業(yè)務(wù)關(guān)系中斷、甚至公司破產(chǎn)。如果上升到法律的高度，侵入事件還可能導(dǎo)致罰款和處罰--公司管理層甚至可能因為在保護客戶個人信息方面犯有失職罪而面臨牢獄之災(zāi)。
執(zhí)行戰(zhàn)略
根據(jù)公司的具體需求勾勒出戰(zhàn)略輪廓后，下一個問題是確定實施辦法。在為移動技術(shù)風(fēng)險戰(zhàn)略制訂路線圖時，請考慮以下幾個方面的內(nèi)容。
標(biāo)準(zhǔn)化是管理移動設(shè)備的辦法之一，但如果公司擁有大量不同的移動設(shè)備和多種操作系統(tǒng)，標(biāo)準(zhǔn)化就比較困難了。針對這個問題，可以通過制訂一套標(biāo)準(zhǔn)程序來有效管理移動設(shè)備的采購、分配、替換、更新，以及管理丟失和鎖定的設(shè)備，并加強IT幫助中心的能力，集中管理各種設(shè)備。
移動平臺管理解決方案會提供一個集中控制面板，讓全部移動設(shè)備的安全設(shè)置保持一致。
定期審查和匯報也非常重要。最基本的一點，公司需要隨時掌握各臺設(shè)備是否遵守規(guī)定。CIO們還應(yīng)了解每臺移動設(shè)備上存儲的商業(yè)信息類型。
移動數(shù)據(jù)安全戰(zhàn)略的執(zhí)行措施包括：確定策略，保護移動設(shè)備上的數(shù)據(jù)，對設(shè)備和用戶進行認證，監(jiān)控策略執(zhí)行情況并撰寫報告。
為了預(yù)防移動設(shè)備丟失或被盜，執(zhí)行方案通常提供數(shù)據(jù)加密的功能。公司應(yīng)確保即使丟失密匙也能夠恢復(fù)數(shù)據(jù)。一個強大的管理方案應(yīng)能集中管理和代管密匙。
大多數(shù)新推出的移動設(shè)備具有內(nèi)置的加密功能，例如某些安全USB驅(qū)動，現(xiàn)在已經(jīng)在市場上有售。最新的筆記本上安裝了可靠的平臺模塊計算芯片，使硬盤加密成為可能。Vista操作系統(tǒng)的BitLocker功能與此類似，可以讓用戶對硬盤加密?！?biāo)準(zhǔn)化是關(guān)鍵
限定移動策略的范圍。移動策略應(yīng)該與公司的整體安全策略和規(guī)章制度相配合。同時，CIO應(yīng)該對面臨的問題持有實際的觀點。
在英提格瑞斯衛(wèi)生署，存儲有個人信息的設(shè)備關(guān)注，因此移動策略很簡單：任何存儲有病人數(shù)據(jù)的醫(yī)療設(shè)備必須被加密。
但同時必須注意有哪些連帶的后果。在登錄連續(xù)失敗時鎖定設(shè)備將導(dǎo)致幫助中心受理更多求助電話。更合理的辦法是限制用戶在設(shè)備上安裝應(yīng)用軟件或攝像頭。
顯然，CIO必須保證公司的移動設(shè)備無論何時何地都符合公司的政策法規(guī)。沒有發(fā)送狀態(tài)報告的設(shè)備必須被視為沒有遵守規(guī)定并中斷該設(shè)備對公司網(wǎng)絡(luò)的訪問。報告內(nèi)容還應(yīng)包括設(shè)備上存儲信息的詳細情況和設(shè)備的合法使用性。這些都要求在移動設(shè)備和公司系統(tǒng)之間進行雙向溝通和集中管理。
移動技術(shù)風(fēng)險解決方案還是個新事物，但這個市場已經(jīng)在迅猛發(fā)展。根據(jù)高德納公司(Gartner)于2006年8月發(fā)布的一份報告，這個市場中約有20家廠商，因此正確選擇廠商很重要。首先，關(guān)于實現(xiàn)公司的商業(yè)目標(biāo)需要哪些功能，應(yīng)在公司內(nèi)部達成一致意見。對于某些公司來說，保護隱私是最迫切的事情。對于另一些公司而言，減少幫助中心接到的求助電話數(shù)量更為重要。此外，還有合規(guī)的情況。通過進行評估，CIO可以獲得寶貴的參考意見，從而正確理解哪些問題需要被解決，哪些缺陷必須被彌補。
除了業(yè)務(wù)能力，CIO們尤其需要注意廠商服務(wù)的可操作性。例如，廠商很難和每種最新的移動設(shè)備保持同步，這就造成安全支持滯后于用戶使用。即使明知存在更大的風(fēng)險，你也應(yīng)該在員工要求下允許他們使用最新式、最先進的設(shè)備嗎?廠商可以提供什么樣的保證，以便在最短時間內(nèi)降低風(fēng)險?即便公司其他部門沒有提出這些關(guān)鍵問題，運營復(fù)雜性還是會給CIO們制造兩難困境，從而讓他們不得不在嚴格執(zhí)行政策和承擔(dān)一定風(fēng)險之間進行抉擇。
已經(jīng)來不及讓魔鬼重新回到瓶子里了。很多公司已經(jīng)認識到移動技術(shù)的好處并且已經(jīng)無法離開移動設(shè)備。然而巨大的商業(yè)風(fēng)險也不容忽視。設(shè)想這么一種情況：保險理賠師可以使用一臺移動智能手機拍照并立刻提交證據(jù)。在這種情況中，如果智能手機丟失，則意味著失去生產(chǎn)力，并且由于丟失數(shù)據(jù)而造成高額的直接和間接成本。
CIO們不能只依靠用戶來保護移動設(shè)備上的數(shù)據(jù)，而應(yīng)該和不同的職能部門合作，制訂可實施的移動技術(shù)風(fēng)險戰(zhàn)略。那些成功地管理風(fēng)險的CIO們將收獲商業(yè)利潤，并通過移動技術(shù)推動公司業(yè)務(wù)發(fā)展。
Nalneesh Gaur是鉆石管理和技術(shù)咨詢公司(Diamond Management and Technology Consultants)的主要負責(zé)人，Bob Kiep是該公司合伙人。
行之有效的安全策略
對照以下清單，制訂你的移動安全方案
全面的移動安全策略應(yīng)該在移動設(shè)備大量增加時還能保持對設(shè)備功能的控制。
* 設(shè)備類型。除了筆記本電腦，監(jiān)管對象還必須包括PDA、智能手機、USB和GPS設(shè)備。
* 獲得許可的技術(shù)。對獲得許可的移動運營系統(tǒng)和無線網(wǎng)絡(luò)協(xié)議進行歸納。目的在于增加而不是減少網(wǎng)絡(luò)訪問。
* 可靠的設(shè)備。公司對哪些移動設(shè)備可以信任?確立這一標(biāo)準(zhǔn)。
* 數(shù)據(jù)保護辦法。著眼于靜態(tài)數(shù)據(jù)和使用中的數(shù)據(jù)。當(dāng)設(shè)備丟失，大多數(shù)情況下數(shù)據(jù)的價值大大高于設(shè)備本身。使用強大的認證和加密功能。定期更換密匙，在一定次數(shù)的連續(xù)登錄失敗后鎖定用戶。
* 可訪問的信息。根據(jù)業(yè)務(wù)需求，限制對信息的訪問。一臺不被信任的移動設(shè)備等于一個不被信任的用戶。
* 丟失的設(shè)備。當(dāng)移動設(shè)備丟失或被盜后，會產(chǎn)生什么后果?補救辦法包括切斷對所存信息的訪問或銷毀全部數(shù)據(jù)。
* 業(yè)務(wù)運營軟件。如果移動設(shè)備安裝了業(yè)務(wù)運營相關(guān)的應(yīng)用軟件，必須高度重視被這些軟件訪問并處理的信息--包括設(shè)備上安裝的業(yè)務(wù)運營軟件和公司信息系統(tǒng)軟件。