移动设备“私机公用” 要注意8点内容

      摘要“移动电话、MP3播放器、U盘、iPad以及其他设备的便携性、连接性和存储容量对于企业来说意味着安全风险的存在。这些风险包括数据泄漏（数据盗窃）和恶意软件； 因为不要小看几GB的存储空间，对于一个移动设备来说可以存储的敏感商业信息简直绰绰有余；并且事实上，这些移动设备十分易于丢失或被盗。

        我们将很多信息随手储存在个人或公司的移动设备中，或商业机密或私人信息。公司的笔记本、上网本、iPads或便携闪存驱动器很易于储存各种各样的文件，虽然一些商业文件本来只应暂时留在上面，但是事实上它们很可能成为这些移动设备的“永久居民”。 

        随着移动设备变得功能趋于多样化，变得价格易于让人接受，它们的用途也会更加多样化并且安全难以保障。这个slideshow让我们知道怎样处理你的设备中所有信息的混合体。 

       点评：安全专家的一些警告并非危言耸听，毕竟没有人会拿安全开玩笑。

       移动设备“混搭” 办公无边界可言

       随着个人移动设备与公司移动设备的混为一谈，就再也没有“内部”、“外部”可言了。Web层面的应用让人们可以直接接入ERP系统，这一漏洞将使网络犯罪分子进入到企业的内部系统。

       一个巨大的僵尸网络Kneber就在这方面给了我们一个很好的范例。2008到2009年间，该僵尸网络影响了全球2500个企业和政府机构的约75000台计算机。Kneber在这18个月里被用于收集在线财务系统、社交网络站点和电子邮件系统的登录信息。

       点评：危险人物也许就是你周围最亲近的人，这才是最可怕的。

       移动设备小小空间构成严重威胁

       移动电话、MP3播放器、U盘、iPad以及其他设备的便携性、连接性和存储容量对于企业来说意味着安全风险的存在。这些风险包括数据泄漏（数据盗窃）和恶意软件；

       因为不要小看几GB的存储空间，对于一个移动设备来说可以存储的敏感商业信息简直绰绰有余；并且事实上，这些移动设备十分易于丢失或被盗。

       点评：重要的文件也许是word格式，也许是TXT格式，所需空间甚小但意义重大。

        云计算让安全管理变得复杂化

        没有边界可言，风险又过于集中化。一些人已经发现，数据库管理员们已经将所有的数据放入了云端。所以有必要进行明确的职责分离；有特权的用户也需要被实时监控，网络犯罪分子通过利用SQL注入攻击可以以迅雷不及掩耳之势获取商业信息；企业需要实时对敏感信息的访问进行监测。

        点评：到目前为止，对于云计算安全的担忧远多于推崇，不过这毕竟是安全界讨论的话题。

        虚拟现在已经成为了现实

        个人移动设备上越来越多的虚拟化应用绕过了很多传统的防御。最近一项调查报告显示，在300多IT专业人士中，85%的人表示他们已经将一些服务器进行了虚拟化。然而，仅有28%的人对于虚拟环境是否与其他TI基础架构一样安全抱有自信。65%的受访者暗示，他们仍没有在虚拟机管理员与其他管理员之间设定有效的职责分离机制。

        丢失或被盗的设备让不法分子轻易进入虚拟系统中，这意味着一个很严重的威胁问题。

       点评：与云计算一样，看不见摸不着的东西都会让人难以信服。

        法规遵从也并非天衣无缝

        仅仅遵守了现有了法规或当地的数据存储规定并不意味着一个系统的数据保护就是牢不可破的。HIPAA法案和塞班斯法案等存储规定告诉我们哪些应该被存储起来，如何存储以及存储多长时间，以及一些最基本的安全需求。

        但是黑客总能够跳到安全供应商的前面，即便是最新公布的法规遵从规定也会在很短的时间内过时。

        点评：遵守了不等于获得了安全，就像部署了安全设备不等于一劳永逸一样。

        防火墙走下几十年的辉煌舞台

        现在，我们面临的问题已经不是如何应战外部不法分子那么简单了，事实上他们就在我们周围。原因很典型：一个面临经济困难并心怀不满的员工和数据窃贼经常通过个人设备寻找出路。其他风险还包括不断推陈出新的恶意软件、数据泄密以及那些看起来合法实则非也的网络流量。

        安全是需要值得信赖的人维护的，防火墙从开始到被接受是个漫长的过程，被抛弃同样也会漫长。

        点评：因为在这个圈子里，安全好像有那么点“墨守陈规”和“固执”的含义。

        加密是必要的手段

       使用智能手机访问企业数据库或存储机密信息往往打开了威胁因素的大门。

       在越来越多的智能手机和其他移动设备上进行加密在一个企业中应该成为必不可少的一项工作。企业安全系统应该对所有对机密信息的访问进行监测。

        点评：不要以为这张图危言耸听，事实上我们正生活在这样的世界里。

        企业需要分层进行防御

        同在一家公司供职的人，对于公司机密信息的阅读权限必须是不同的。

        企业安全应该包括对数据中心各层的防御，如监测对ERP系统和数据库的访问。管理员应该始终关注那些未经授权或异常的活动。

       点评：划分权责是一项细致人才能完成的工作，但是划分好了也不等于就没有隐忧存在。