大多數(shù)企業(yè)首先會(huì)通過明確的政策來決定BYOD計(jì)劃的實(shí)施程度，有的選擇限制訪問某些數(shù)據(jù)或應(yīng)用程序，有的會(huì)選擇要求員工在自己的設(shè)備上安裝特定的軟件。企業(yè)將決定允許哪些終端可以和網(wǎng)絡(luò)連接、相關(guān)策略和可以接受的用戶行為。企業(yè)還必須決定實(shí)施哪些技術(shù)控制手段以執(zhí)行企業(yè)的政策。至少，企業(yè)必須回答某些問題，例如支持什么樣的設(shè)備和移動(dòng)操作系統(tǒng)?如何分配和管理員工設(shè)備上的應(yīng)用程序等等。技術(shù)控制可以以網(wǎng)絡(luò)為中心，或以設(shè)備為中心，并沒有放之四海皆準(zhǔn)的單一手段。可供選擇的技術(shù)控制手段有如下幾種：

● 移動(dòng)設(shè)備管理(MDM)。對(duì)個(gè)人設(shè)備匹配相應(yīng)的安全策略管理能力是采納MDM的驅(qū)動(dòng)力之一。 MDM能使策略執(zhí)行針對(duì)移動(dòng)設(shè)備本身并提供遠(yuǎn)程位置鎖定和數(shù)據(jù)擦除的能力，防止設(shè)備丟失或被盜。

● 網(wǎng)絡(luò)訪問控制(NAC)。這種技術(shù)的一個(gè)主要優(yōu)點(diǎn)是，建立對(duì)網(wǎng)絡(luò)本身的控制，使企業(yè)在網(wǎng)絡(luò)發(fā)生任何損壞之前，能夠阻止來自于移動(dòng)設(shè)備的惡意軟件的攻擊。NAC依賴于網(wǎng)絡(luò)執(zhí)行安全策略并控制終端、數(shù)據(jù)和用戶訪問行為，它需要相當(dāng)?shù)闹悄茉O(shè)計(jì)以在網(wǎng)絡(luò)上提供足夠的訪問控制粒度。

● 安全Web網(wǎng)關(guān)(SWG)。面向移動(dòng)的Web安全網(wǎng)關(guān)也許是MDM的完美補(bǔ)充。它可以基于設(shè)備或云，通過惡意軟件過濾、信譽(yù)過濾、數(shù)據(jù)防泄漏(DLP)、應(yīng)用可視化控制等手段，結(jié)合可行的策略控制，解決BYOD帶來的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)。

● 移動(dòng)安全客戶端(ESC)。它是傳統(tǒng)防惡意軟件客戶端的移動(dòng)性延伸，是終端上反惡意軟件、身份認(rèn)證(如802.1X)、VPN和遠(yuǎn)程擦除功能的組合。

● 身份和訪問管理(IAM)。它是使企業(yè)能夠執(zhí)行合規(guī)和加強(qiáng)基礎(chǔ)設(shè)施安全的策略平臺(tái)，同時(shí)可簡(jiǎn)化企業(yè)的業(yè)務(wù)操作。通常情況下，它包含了一個(gè)完整的配置和認(rèn)證系統(tǒng)，用來對(duì)網(wǎng)絡(luò)中形形色色的移動(dòng)訪問角色提供永久或臨時(shí)的認(rèn)證。它會(huì)收集實(shí)時(shí)的來自網(wǎng)絡(luò)和用戶的上下文信息，強(qiáng)制執(zhí)行安全策略，并根據(jù)預(yù)設(shè)的條件觸發(fā)，預(yù)先自動(dòng)生成管控決策。

● 虛擬桌面基礎(chǔ)設(shè)施(VDI)。它創(chuàng)建了一個(gè)可以托管應(yīng)用程序和數(shù)據(jù)的安全虛擬機(jī)(VM)，為進(jìn)入企業(yè)網(wǎng)絡(luò)的移動(dòng)設(shè)備訪問VDI提供了一個(gè)安全窗口，確保數(shù)據(jù)的安全和業(yè)務(wù)連續(xù)性，因?yàn)閂DI不允許數(shù)據(jù)在用戶的個(gè)人設(shè)備之間以及與企業(yè)基礎(chǔ)設(shè)施之間流動(dòng)。

沒有靈丹妙藥可以獨(dú)自解決移動(dòng)設(shè)備所帶來的挑戰(zhàn)。完善的安全解決方案將會(huì)是廣泛的產(chǎn)品組合，可以實(shí)時(shí)抵擋來自于移動(dòng)設(shè)備的新的安全威脅，對(duì)遠(yuǎn)程用戶執(zhí)行安全合規(guī)，并保護(hù)網(wǎng)絡(luò)、數(shù)據(jù)和客戶端的安全。如果制定政策和審視技術(shù)控制手段是獲取BYOD安全的第一步，第二步則是創(chuàng)建一個(gè)戰(zhàn)略架構(gòu)遠(yuǎn)景。

首先， 讓我們從MDM開始。一方面，市場(chǎng)驅(qū)動(dòng)廠商追求廣泛的、跨平臺(tái)的MDM覆蓋策略，使得原來因?yàn)槿狈DM安全策略定義和實(shí)現(xiàn)標(biāo)準(zhǔn)所造成的適應(yīng)性的廣度和差異化欠佳的情況有所改善。另一方面，由于針對(duì)移動(dòng)平臺(tái)的惡意軟件層出不窮，提高移動(dòng)設(shè)備安全性的呼聲也越來越高，企業(yè)需要MDM結(jié)合惡意軟件防護(hù)來確保業(yè)務(wù)的連續(xù)性。許多企業(yè)這樣做了，卻失于偏頗，因?yàn)樗麄儧]有采取相應(yīng)的網(wǎng)絡(luò)可視化監(jiān)控手段。此外，基于設(shè)備的惡意軟件防護(hù)，會(huì)受到設(shè)備和移動(dòng)操作系統(tǒng)的限制。想象一下，如果員工用合法的智能手機(jī)或平板電腦訪問互聯(lián)網(wǎng)上的惡意信息怎么辦?在那一刻企業(yè)該怎樣去及時(shí)阻止移動(dòng)終端接入可疑的網(wǎng)站或應(yīng)用程序?

業(yè)界一些廠商正在試圖將MDM和移動(dòng)安全客戶端、DLP、SWG和其它基于云的服務(wù)結(jié)合起來，建立強(qiáng)健的、高可用的架構(gòu)。由于以終端為中心的安全控制方法會(huì)受到極大制約，這種架構(gòu)在今后可能會(huì)成為主流。傳統(tǒng)的網(wǎng)絡(luò)解決方案廠商都已經(jīng)意識(shí)到，解決移動(dòng)安全僅靠終端一隅是不可能的，它們已經(jīng)開始推出集成的移動(dòng)安全解決方案，這些方案可以回答幾個(gè)以終端為中心的安全控制手段無法回答的關(guān)鍵問題：

● 你是誰(shuí)?

● 你從何處接入?

● 你要訪問什么數(shù)據(jù)?

● 哪些數(shù)據(jù)會(huì)流出網(wǎng)絡(luò)?

因此，網(wǎng)絡(luò)需要有批準(zhǔn)和拒絕用戶試圖獲得特定數(shù)據(jù)的最終決定權(quán)，網(wǎng)絡(luò)安全一定要被集成進(jìn)入整體移動(dòng)安全架構(gòu)。

制定宏觀安全策略

誠(chéng)然，企業(yè)還需要細(xì)致考慮如何有機(jī)地結(jié)合并實(shí)施上述技術(shù)控制手段。當(dāng)面向移動(dòng)平臺(tái)的安全技術(shù)，如MDM和近來興起的“集裝箱”技術(shù)(Containerization)還不成熟的時(shí)候，對(duì)移動(dòng)訪問不管采取什么樣的安全控制手段，NAC都是最重要最直接的安全能力，企業(yè)必須在工作場(chǎng)所檢測(cè)非管理的但作為商業(yè)用途的員工設(shè)備。原因就在于這樣一個(gè)事實(shí)：許多企業(yè)仍然籌劃著對(duì)BYOD趨勢(shì)做出反應(yīng)，但還沒有制定正式的政策，而且他們可能還無法在個(gè)人移動(dòng)設(shè)備上安裝終端防護(hù)程序，也無法配置任務(wù)策略，無法像控制公司所有的設(shè)備一樣執(zhí)行生命周期管理。有如下4種宏觀安全策略可以借鑒，相應(yīng)的安全策略也同時(shí)依賴于企業(yè)不斷變化的安全預(yù)期和IT預(yù)算。

● 忽略(Disregard)：相當(dāng)于忽略了個(gè)人設(shè)備在企業(yè)環(huán)境中的存在。這是一個(gè)糟糕的選擇，企業(yè)采取忽略策略將不對(duì)當(dāng)前基礎(chǔ)設(shè)施做任何政策或技術(shù)的變化。注意這里安全壓力不等同于安全風(fēng)險(xiǎn)，企業(yè)感受到的安全壓力處在最小區(qū)域，但安全風(fēng)險(xiǎn)可能極大。

● 封鎖(Block)：使用自有設(shè)備將受到嚴(yán)格監(jiān)管。企業(yè)將優(yōu)先考慮其網(wǎng)絡(luò)和數(shù)據(jù)的絕對(duì)安全，而輕視用戶體驗(yàn)和滿意度，員工將限定使用企業(yè)擁有的設(shè)備和SIM卡。由于NAC能夠探測(cè)到連接設(shè)備的類型和合規(guī)狀態(tài)，所以阻止使用BYOD不是多么困難的事情。

● 遏制(Contain)：要實(shí)現(xiàn)這一策略，NAC需要聯(lián)合廣泛的產(chǎn)品然后粉墨登場(chǎng)。一種可能的組合方式是：NAC實(shí)現(xiàn)LAN/WLAN環(huán)境的身份驗(yàn)證、接入授權(quán)、計(jì)費(fèi)和安全審計(jì);IAM負(fù)責(zé)為設(shè)備下發(fā)配置文件，感知用戶上下文，如發(fā)現(xiàn)設(shè)備的位置和服務(wù)狀態(tài);移動(dòng)安全客戶端自動(dòng)執(zhí)行下發(fā)的設(shè)備配置文件，如動(dòng)態(tài)地開啟一個(gè)VPN安全隧道，實(shí)現(xiàn)端到端的加密;至于DLP，可能集成在安全客戶端做自我防衛(wèi)，也可能在網(wǎng)絡(luò)側(cè)作為應(yīng)用程序沙箱集成進(jìn)入移動(dòng)安全網(wǎng)關(guān);輕量級(jí)的MDM可以跨多個(gè)手機(jī)平臺(tái)和應(yīng)用程序提供移動(dòng)管理功能。通常，遏制策略可以靈活地將網(wǎng)絡(luò)安全維持在可接受的水平。

● 協(xié)調(diào)(Embrace)：近似于完美的策略，它讓每個(gè)人的BYOD夢(mèng)想成為現(xiàn)實(shí)。這一策略代表了一個(gè)巨大的文化轉(zhuǎn)變，但也意味著巨大的技術(shù)操作的復(fù)雜度和顯著增加的IT投資。調(diào)查顯示，對(duì)一個(gè)企業(yè)，如果使用BYOD的基層員工超過雇員總數(shù)的30%，就可以被認(rèn)為達(dá)到了協(xié)調(diào)的水平。另一方面，從技術(shù)上講，在這種環(huán)境下，采用重量級(jí)的MDM技術(shù)可持續(xù)地跨多種移動(dòng)平臺(tái)執(zhí)行設(shè)備管理策略將必不可少;部署VDI集中管理和保護(hù)敏感數(shù)據(jù)，將BYOD終端和業(yè)務(wù)基礎(chǔ)設(shè)施隔離開來也是一個(gè)典型的例子。同時(shí)，在遏制策略中用到的技術(shù)控制手段需要精心策劃并加強(qiáng)，以實(shí)現(xiàn)到協(xié)調(diào)層面的過渡，這包括增強(qiáng)安全政策的縮放性，既可擴(kuò)展到企業(yè)全局，也可為不同部門或地域量身定制;整網(wǎng)的可視性、用戶行為的細(xì)粒度控制、基于網(wǎng)絡(luò)的內(nèi)置DLP引擎的內(nèi)容過濾和能夠解密VPN連接，發(fā)現(xiàn)已經(jīng)被攻擊者攻破的合法用戶在傳播惡意軟件等高級(jí)功能都是必須的。

重要的是，BYOD僅僅是揭開移動(dòng)應(yīng)用大趨勢(shì)序幕的“冰山一角”。來自研究機(jī)構(gòu)的調(diào)查顯示，到2014年，移動(dòng)設(shè)備將通過本機(jī)的硬件和OS功能“集裝箱化”應(yīng)用程序和數(shù)據(jù)。集裝箱化技術(shù)將在設(shè)備堆棧中執(zhí)行應(yīng)用層防數(shù)據(jù)丟失，這種功能是需要高度遵守法規(guī)的企業(yè)成功實(shí)施合規(guī)審計(jì)的必要前提。預(yù)計(jì)未來會(huì)有越來越多的企業(yè)選擇集裝箱化技術(shù)結(jié)合MDM強(qiáng)制實(shí)施更強(qiáng)壯的安全控制能力。

此外，員工已經(jīng)逐漸習(xí)慣了應(yīng)用程序和IT支持服務(wù)的自助式環(huán)境、軟件即服務(wù)(SaaS)、云計(jì)算等技術(shù)創(chuàng)新，其本質(zhì)是呈現(xiàn)以客戶為導(dǎo)向、使人們工作生活更舒適的IT價(jià)值觀，BYOD概念就是這種精神的體現(xiàn)。事實(shí)上，業(yè)界公認(rèn)使用移動(dòng)設(shè)備的主要業(yè)務(wù)風(fēng)險(xiǎn)是數(shù)據(jù)丟失，而對(duì)客戶透明的基于云的SWG技術(shù)，能夠通過黑白名單和內(nèi)容過濾技術(shù)顯著減少惡意軟件滲透的影響，在已經(jīng)談到過的安全控制手段里，可能是最有前途的、可平衡智能手機(jī)和平板電腦安全性需求的長(zhǎng)遠(yuǎn)方法。

最后，作為補(bǔ)充，BYOD不只是一個(gè)技術(shù)問題，它也是一個(gè)要求IT部門和人力資源、財(cái)務(wù)、法律團(tuán)隊(duì)協(xié)作來有效整合業(yè)務(wù)戰(zhàn)略、安全政策和IT系統(tǒng)的商業(yè)問題。企業(yè)必須充分預(yù)測(cè)到安全違規(guī)的后果，并提供相應(yīng)的IT手段以迅速平息不利影響。此外，責(zé)任的定義是必要的，不單對(duì)企業(yè)，以避免任何BYOD實(shí)施后可能的法律糾紛。其目的是讓大多數(shù)員工明白，如果發(fā)生設(shè)備濫用或危及安全的事件，導(dǎo)致他們個(gè)人設(shè)備上的數(shù)據(jù)被擦除，遵守公司的政策將是他們應(yīng)盡的職責(zé);同樣，如果員工沒有及時(shí)報(bào)告任何設(shè)備/數(shù)據(jù)損失或者可疑的破壞行為，可能會(huì)導(dǎo)致企業(yè)的處罰，包括從擦除程序到終止BYOD權(quán)限。對(duì)于大多數(shù)希望裝備更先進(jìn)安全控制手段把風(fēng)險(xiǎn)降到最低的企業(yè)來說，這些做法是確保技術(shù)手段能夠生效的根本。