（通信产业分析）CIO新挑战：移动设备数据安全管理

1、通信产业分析报告通信产业分析报告CIO新挑战：移动设备数据平安管理 最近IDC讨论觉察，移动终端设备已经广泛应用在企业各业务层面，CIO的新挑战是怎样有效管理企业的移动设备上的数据平安。例如包括：如何管理简单的移动设备的应用环境?如何将这些移动设备与现有企业系统进行整合?如何管理这些移动设备的数据平安问题?简洁的说就是:如何管理移动设备和其使用之间的问题，由此涉及到的是系统平安、效劳整合、互操作性和组织本钱掌握等一系列问题。 一般来说,移动终端设备除了笔记本电脑外,包括掌上电脑、智能 、USB设备和GPS设备等。由于其移动便利的特性,对数据的平安性提出了更高的要求。而事实上，我们经常看到的是很

2、多公司对其移动设备在平安和策略管理上的缺失。 一.危机四伏的移动设备数据管理 近来，人们对笔记本电脑、智能 、便携式多媒体等移动设备的使用大大增加，特殊是那些被CEO、公司高管、销售和参谋使用的移动设备，往往涉及销售经营数据和电子邮件等极为敏感的公司资料。最新的移动设备具有更大的储存容量和更强的互联网访问功能，也使移动设备上的数据信息面临更大的风险。 “我们丢了一台笔记本电脑这是CIO最不想听到的一句话。除了设备本钱损失之外，一般会造成重要数据的外泄，更严峻的甚至会造成公司经营的风险,由于丧失一台保存着敏感信息的笔记本电脑会毁掉一家蓬勃进展的企业。而事情上，笔记本电脑丧失或者被盗是很普遍的事情

3、，而设备越小丧失的次数越多。据一份调查显示，现在很多公司的用户每个星期都会丧失或者损坏相当多的移动设备,正是由于这个缘由，移动设备丧失造成的数据风险已经足以让CIO睡不着觉了。移动设备存储量增大的后果是更多数据处于被盗、丧失或使用不当的风险之下，CIO们为此深感担忧,现在CIO必需找到一种新的管理方法来管理公司的移动设备。同样让CIO更担忧的是，多数移动设备用户没有在非平安的环境中实行适当的平安措施。例如，据媒体报道发生的一次令人担忧的大事：一台从淘宝网拍卖购得的笔记本电脑被觉察存储着很多重要的商业机密资料，以及200多封公司内部机密邮件。出售这台笔记本的人想当然地认为，删除数据后就可以了，结

4、果却出乎他的意料，拍卖得主在一次无意复原磁盘操作中把这些重要数据全都复原出来了。 CIO需要清晰熟悉丧失或被盗的移动设备已经不再只是物理设备的损失问题，而是数据外泄的问题。移动设备假设落入盗贼手中，上面的信息就会损害到用户。因此，削减移动设备数据外泄风险的关键，是实行预防式的手段管理和保护敏感信息，以防止非法访问或信息泄露。所以，防患于未然，对敏感数据进行有效管理是CIO必需面对的问题。 二.平安解决方案：加密数据 许多时候,当一个移动设备丧失,其数据的价值远远超过了移动设备本身。在有关调查中显示，全部提及移动设备管理的CIO都有一个共同的关注点平安。随着移动设备应用数量的增多，移动设备类型的

5、多样性也在攀升，企业管理及掌握移动数据平安的力量却捉襟见肘这不再是要不要保护数据的问题，而是如何保护数据的问题。因此，摆在CIO面前的难题是: 如何最有效地保护移动设备(笔记本电脑、PDA、智能 或者可移动介质)上存储的敏感信息。 如今的静态数据平安解决方案大多是基于比拟老的加密技术，而这些技术当时根本不是针对移动设备的简单环境设计的，于是其结果可能导致: IT部门里的现有流程简单化，支持人员在日常的IT恢复、修理期间也会使到移动设备更简单暴露和外泄数据，现有的移动设备管理流程根本无法满意关键数据对平安的需求。 对CIO而言,新的工作目标必需从对日益广泛应用的移动设备(笔记本电脑、 、U盘及光

6、盘甚至蓝莓或PDA等)围追堵截式的被动式平安保障，转移到主动保证移动数据的平安上来。因此,CIO必需面对这个新现实，准时调整移动设备平安流程和技术策略，确定移动设备数据风险等级和优先安排资源。 一般来说，保护移动设备数据平安需要双管齐下：对移动设备磁盘和数据加密，对移动设备进行监管和认证许可。例如周期性地生成新的加密密锁,以及肯定次数的登陆失败后锁定并去除数据等手段。 (1)移动设备磁盘和数据加密 显而易见依靠用户来推断信息的敏感和重要程度，然后再自动自觉实行适当的平安保护方法是有漏洞的，只要有局部用户的工作做得不到位，整个公司的数据加密努力便会白废。此外，Outlook和网络扫瞄器等一类流行

7、软件会把附件分散到磁盘的各个角落，通常是很不起眼的地方。因此，就算是最严谨细心的用户也难免会有百密一疏的时候。有鉴于此，公司制定强制性的对移动设备上的资料进行加密是较可行的方法，例如采纳硬件或软件方式自动加密磁盘和数据，并涵盖整个移动设备的磁盘，这样移动设备用户就可以放心使用。 (2)建立移动设备许可认证:防止数据泄露 单是对移动设备的磁盘加密还不能解决移动设备的平安问题，用户还需要管理及掌握各种具有数据存取功能的周边设备，如智能 、U盘、各种便携式存储媒介如MP3播放器和数码相机等。当然，这些仅仅靠口头上的政策是不够的，还需要通过端口掌握方案来支持并强制执行，端口掌握解决方案可以自动拒绝不符

8、合平安政策的USB设备，或者阻挡传输某些文件或某些类型的文件。例如，平安政策可以允许授权用户使用已经加密了的移动设备，但没有经过加密许可的PDA或智能 那么不行以，一旦数据在一个授权的移动设备上被加密，就只能被有权限的人通过合法途径来访问。 三.层出不穷的移动病毒攻击 技术是一把双刃剑。当 、PDA等移动设备成为新型计算平台后，越来越多的用户开头依靠它们处理个人事务与商业交易时，平安隐患也随之消失。据猜想，新的移动终端造成的平安损害远比PC高，以智能 为目标的新一代移动病毒能够威逼和感染市场上正流行的多种智能 ，而这些 大多都没有安装移动平安防护。 更令CIO担忧的是很多病毒现正向移动设备发起

9、攻击。去年，反病毒厂商觉察了200多种 病毒。间谍软件、网络钓鱼软件、域名哄骗软件、恶意软件、零时差扫瞄器攻击、以及僵尸网络等攻击软件正在快速扩散。据调查显示，仅仅针对Windows智能 设备，就已经觉察了约30种恶意软件。 什么是移动设备病毒?就是和固定设备的病毒一样，移动病毒是侵袭移动设备的小型程序。主要是针对智能 和无线PDA。它们攻击着移动设备和平台，例如近期的病毒攻击运行Symbian OS或者WIN CE/Windows Mobile的移动设备，我们可以确定的是广泛使用的智能 操作系统将会被越来越多的病毒攻击。 企业IT管理员能够对网关、效劳器、台式电脑进行平安检测，但对 却无能为

10、力，智能 是现在唯一没有纳入企业信息平安防护系统的计算设备。更令人担忧的是，新的平安威逼不仅仅来自 ，由于 、PDA等移动设备消失在人们生活中的机率越来越高，它们在技术上彼此互联、相互交叉，形成了比单纯的电脑环境简单得多的平安管理环境。移动病毒更看中移动无线网络的脆弱性，传播路径的多样化使大范围的传播更成为可能，例如木马隐蔽在从无线网络下载的嬉戏中，或通过蓝牙传播。 四.制订数据平安策略刻不容缓 大多数人们在应用移动设备的时候都没有考虑可能会丧失的后果，也就没有特殊考虑移动设备数据平安的问题。简洁地说，人们还没有足够仔细地评估移动设备可能受到的威逼和平安漏洞。更糟糕的是，企业的很多员工都不知道他们拥有什么信息，或者不知道这些信息的价值。 另一方面，或许有员工认为只要加密无线网络和笔记本电脑硬盘，然后就万事大吉了。但实际并非如此，为了与这些风险进行有成效的斗争，公司必需制订一个移动设备平安策略，以指导公司进行评估，制订与潜在商业影响相符的预算，并将移动设备平安解决方案在技术上、步骤上和组织结构上的作为头等大事来抓，从而降低风险。移动设备平安措施包括：确定策略，保护移动设备上的数据，对设备和用户进行认证，监控策略执行状况并撰写报告。 (1)对移动设备上的数据重要性进行评估，并评估数据外泄对公司业务的影响，确定移动设备风险管理的预算和措施。 (2)检查和落实