衡量过你的移动设备安全是否达标吗？

帅哥

正如英国全国建屋互助会（Nationwide Building Society）在去年初发现的那样，丢失笔记本电脑会带来巨大损失，伍斯特郡郡政会（Worcestershire County Council）可能很快也会发现这一点。
% [+ j( @/ ]0 P4 {0 v/ o2 J
- R9 Q- K0 d' d; s+ ^    而最大的损失未必来自更换丢失系统所花费的成本。事实上，就拿全英建屋互助会来说，最后被金融服务管理局处以罚款98万英镑才是主要费用，理由是这家监管部门认定该组存在严重的信息安全过失。该组织还花费了大量的时间和资金来通知客户，要留意这起失窃事件可能带来的潜在风险——早些时候，一名员工在家里丢失了笔记本电脑。
# x6 A9 b7 I* ~) f# M
' ~  a+ E6 B* Y( `　　因而，虽然全英建屋互助会的首席执行官Philip Williamson表示“此次事件没有给客户的账户带来任何经济损失”；如果客户确实蒙受了损失，他们无论如何会得到补偿的。不过这起事件还是促使该组织委托另一家组织“为其全面审查了信息安全程序和控制措施。”

1 j! J2 G$ v& J( m! p7 z8 L    移动设备带来便捷性的同时也存在风险

, y4 B% G, O! j  c( }$ \    而与此同时，伍斯特郡郡政会接到了其IT供应商Serco公司的通知，声称该公司的一名员工在周末逛街时遭遇抢劫，结果一台笔记本电脑被抢。电脑里面含有郡政会16239名员工以及前员工的个人资料，包括银行和全国保险信息，这些信息有可能被暴露在身份窃贼面前。

    于是，伍斯特郡郡政会通过信件的方式紧急通知了受到影响的人员，还为他们开设了一条热线，以便提供更多的信息，从而知道如何保护自己避免可能出现的欺诈。

( X6 E  s  i: r# P% {    但并不是单单只有这两家组织才遇到丢失笔记本电脑的事件。据英国科技新闻网站silicon.com在2006年8月开展的信息自由调查显示，许多政府部门都遇到过丢失笔记本电脑的事件。
/ l# C9 R8 \3 f1 B4 B0 ?
    其中受影响最严重的英国国防部声称，从2005年7月到2006年7月，21台笔记本电脑被偷。内政部有19台被偷；卫生部被偷18台；贸易和工业部有16台失窃；皇家监狱总局被偷8台；英国身份及护照服务处被偷4台。
; d$ y" p4 o0 ~9 q+ _. |
    但失窃并非导致笔记本电脑下落明白的惟一原因。2005年，英国执业出租车司机协会创办的《出租车》杂志对伦敦的出租车司机作了一项调查，这项调查得到了移动安全技术供应商Pointsec公司的赞助。调查发现，在短短半年内时间，乘客遗忘在出租车上的笔记本电脑数量多达4973台——不过其中有96%物归原主，这还得归功于司机们不遗余力地寻找失主。
6 U' F* s# A; T
8 {2 T$ D2 Y9 b6 i    遗忘在出租车上的个人数字助理（PDA）也有5838部，而手机更是多达63135部——平均每辆出租车上会落下三部手机；不过在后面这种情况下，司机们设法归还了其中约80%的手机。
: V" m8 K' t4 X
    这一切似乎都表明，尽管移动设备给日益分散的员工队伍带来了便利和灵活性，不过同时也带来了一系列信息安全风险。

    人们在这方面主要担心的问题之一与数据泄露有关；而事实上，一旦笔记本电脑丢失或者被偷，没有授权的人就有可能获得敏感的公司信息。

    尽管如此，据英国贸易和工业部在2006年开展的信息安全泄密调查（普华永道会计事务所负责每两年调查一次）显示，五分之四的英国公司仍然单单依靠密码来保护各自的系统。
. g3 t9 j2 S6 s
    研究公司Freeform Dynamics的首席分析师David Perry指出，这方面存在的问题是，谁都知道，密码是不安全的。他说：“人们常常使用老一套的密码，或者人家运用社会工程学伎俩，打个电话，就会把密码透露给对方。还有为数不少的人养成了把密码记到纸上的习惯，而窃贼总是知道在何处找到密码。比方说，如果窃贼连笔记本电脑包一道偷走，很可能在包里面找到密码。”
! q# C# s; D# r* o/ Z
    不过，目前的情况显得更加复杂，这是由于无线网络日益普及：员工在外出时会接入无线网络；日益普遍的是，员工在家办公时也会接入无线网络。
: r" ]! x! \& {, p9 Q! z
    这里难就难在，就目前而言，用户想知道自己连接的是合法网络还是非法热点（rogue hotspot）几乎是不可能的——如果人们所用的笔记本电脑采用了英特尔迅驰芯片，这个问题就显得尤为突出；因为一旦这些笔记本电脑启动上去，就会自动寻找信号。

    由于无线安全技术仍处于发展初期，所以这无助于缓解这个麻烦的事态。不过如今开始出现了像AirTight Networks入侵预防软件这样的产品，试图解决这个问题。

% @5 `6 G0 Q! g: A, z    经销商Wick Hill公司的总经理Ian Kilpatrick表示，另一个可能危险的情形是，有人在策划所谓的中间人攻击（man-in-the-middle attack）。

    他解释道：“用户可能以为自己成功连接到了无线网络，但是黑客之前也许已经连接到这个网络上面，因而用户可能是通过黑客连接到网络。这就意味着，黑客可以盗用用户的信息来登录，查看来回传输的数据。不过最严重的问题是，一旦黑客窃取了用户的身份，就可以随时登录网络。”

/ t4 h) ]2 x% a3 ?( V    因而，Kilpatrick建议公司应当确保员工通过自己的机器连接到互联网时要使用SSL或者IPsec虚拟专用网（VPN）；另外确保笔记本电脑安装了双因子验证产品，如令牌或者数字证书，从而确保试图登录到公司网络的用户确实拥有有效身份。

1 U4 A( k$ t+ c# k+ K    另一个重要的工具就是加密软件，可用来保护存放在笔记本电脑中的任何敏感数据。Kilpatrick表示，如果批量采购，目前每台电脑使用的加密软件大约只要70英镑，“这与数据丢失可能导致的罚款及名誉受损相比微不足道。”

    移动终端安全还需更多的防护工具
1 Z: G" c/ Q, [; d9 Z1 R" T
    与此同时，更令人担心的是，哪些笔记本电脑会导致公司网络面临恶意软件引起的感染。据赛门铁克公司企业安全小组在2005年开展的一项调查显示，导致蠕虫自动攻击的最常见根源就是员工的笔记本电脑；43%的公司声称，安全事件是因此而引起的。另有34%的公司表示，感染蠕虫是由非公司员工的人员带来的笔记本电脑引起的。
5 C7 e( |& U. F0 B/ L- p
    信息风险管理安全咨询公司的首席技术官Phil Huggins表示，不过遗憾的是，公司还没有习惯使用反病毒软件和反垃圾邮件软件之外的软件来保护客户端设备。

: i' v4 M0 ^' e- Q    他说：“端点安全往往是一种非常基本的概念，已深入人心。如今在所有笔记本电脑上安装反病毒软件或者某种反垃圾邮件软件，这种做法已被相当多的公司所接受。但是说到部署入侵预防、个人防火墙或者加密软件之类的技术，却好坏不一。”
+ \; f& W6 T9 E
1 F. v% g! a/ |: @    更糟糕的是，虽然一些公司可能积极确保自己的内部系统打上了补丁、安全软件是最新版本，但它们往往很随意，不加区别地对所有笔记本电脑给予同样程度的关注。这时候，远程管理软件就能发挥作用。这类系统经过配置后，可以确保电脑上的应用软件版本最新、确保安全补丁自动打上；并确保正确的连接设置已落实到位。另外，要是被偷或者失窃的笔记本电脑下一次试图连接到公司网络上，远程管理软件还可以用来远程禁用电脑，并且清除里面的数据。
# Q: J. N6 j  u7 l
    另一种实用的工具是网络访问控制（NAC）软件，思科和Juniper Networks等厂商销售此类软件。这种软件的作用是，如果笔记本电脑不符合公司内部设定的安全策略，就拒绝电脑访问公司网络；并隔离开来，直到电脑清理干净，或者软件得到更新，才可以正常访问。
* }* z5 T  S& p% u
; }4 H8 l& C0 {6 _) Z    不过正如Kilpatrick指出的那样，单单部署比较巧妙的技术还不够。他说：“技术只是你确定了存在哪些问题以及公司可能面临多大的风险后部署到后端的东西。”
: ?; J0 u& O  h  X) d0 F7 d
    这就意味着，想在这方面尽可能提高信息安全效果，公司完全有必要正式评估自己希望怎样利用移动技术、为什么利用这项技术，然后在此基础上评估风险，之后，风险评估以及任何随后的缺口分析（gap analysis）成为移动安全策略的基础，并且告知员工哪些是公司可以接受的使用。

8 P% |& h% t+ E- W' }    Perry解释：“你要明白自己在哪些方面安全很薄弱，能承受多大的风险。在此基础上开展其他各项工作——用户培训、推行的策略以及部署的技术都应当以这种自上而下的视野为准绳。这是开展各项工作的基础。”

' ~& z5 P* ^  I7 |6 ?2 \    就用户培训而言——Perry认为这项工作至关重要，有必要事先了解一下潜在的风险情况，并且了解如何应对风险，从而增强员工的安全意识。另外有必要鼓励员工要抱着这样的想法“东西总是可能会丢失的”；并提醒他们：他们的笔记本电脑是公司财产，而不是个人财产。
" e6 t* T( H) G7 }: d" E9 ?
    这么做的目的是帮助员工首先充分认识到需要安全机制，不然，这些安全机制可能会被禁用，或者他们觉得过于麻烦而绕开了这些机制。

    这是一个重要问题。如果移动设备采用的安全措施过于严格，当初使移动设备大行其道的易用性和便利性就会受到影响。因此处理好两者之间的平衡关系非常重要。
, g5 j& I' W( k7 z
    Kilpatrick说，要牢记的另一点就是，一开始就把安全融入到组织行为当中总是比以后试图加强安全来得更省钱、更有效。

- Z) D: {* t5 Q% T    他说：“如果没有把安全作为业务计划的一部分来处理，它往往被认为是成本昂贵的附加部分，而且会让人觉得有点讨厌。但要是公司一开始就承认安全是必不可少的，就算任何一台新机器的费用可能会因而增加250美元，也会准备好把安全考虑进来。”
# ~5 N$ V' h# n9 I$ K
    这就意味着，公司明白面临的安全风险、并准备好为此承担责任显得至关重要。正如Kilpatrick指出的那样，如果当天最后一名下班的员工没有关上所有的门窗，而且让保安回家，他就要为发生的任何事件负责；可能会因为行为不端而被开除。
, c  e( u& v; y; e' ]6 z4 H6 G' }
  q! \) h' _. g. O( T3 }# N　　他得出这样的结论：“如果任由员工带着没有任何安全措施的笔记本电脑在机场到处闲逛，可能把他们的登录资料广播出去，又没人觉得需要为此承担任何责任，那这种做法是无法接受的。关键就在于，让公司董事会明白风险，并且明白对安全负有责任的是他们自己，而不是IT部门。”