智能手机需要智能安全

身为休斯敦温莎食品公司的IT副总裁,Stephan Henze面对最新的IT趋势,必须保持领先一步。这就是他为什么要花大量时间考虑部署及保护整个企业的智能手机安全。就在前不久,该公司还只有几十部智能手机,而现在IT部门管理的智能手机多达100部。Henze预测,在不久的未来,公司智能手机的数量还会大幅增长。

企业对移动通信的需求越来越大,连生产车间都需要移动通信――要是出了问题,维护工程师很快就可以在手机上收到机器自动发来的警报短信。因而,确保智能手机的安全也变得越来越棘手。Henze所在公司目前的政策是,只支持员工使用基于Windows Mobile的智能手机,因为非标准设备无疑会使手机的安全工作更复杂。不过,对有些人来说,手机就是自己的时尚宣言。如果员工使用个人电脑,可以明确规定本企业环境不支持Mac机;但如果员工使用手机,是否能始终明确禁止使用某种手机呢?

智能手机的多种威胁

越来越多的IT和安全主管正在竭力应对企业员工智能手机面临的安全问题。

最主要的问题还是:一旦手机或可拆卸存储卡丢失或被盗,里面的敏感数据很可能泄露出去。员工要是没有删除手机里面存储的数据,就将手机卖掉或送修,数据也有可能外泄。

此外还存在这样的风险:与虚拟专用网(VPN)连接的设备可能将企业网络暴露在黑客和恶意软件入侵威胁面前。各种病毒通过短信后门及其他漏洞攻击手机本身的可能性也越来越大。Strategy Analytics咨询公司的分析师Philippe Winthrop曾经这样发问:“要是我拿到了你的手机,捣鼓一番,导致手机连接到了企业的VPN怎么办?这是企业面临的一大风险,但目前人们还没有予以认真对待。”

更为复杂的问题是,用户们倾向于把智能手机看作自己的个人装置,认为企业的IT部门管不着。Gartner公司的分析师John Girard说:“一种根深蒂固的观点是‘这是我自己的移动设备’。”他表示,用户常常把其智能手机看作一种娱乐设备,而不是需要保护的一种资产。

Girard表示,智能手机的多媒体功能带来了其他问题。比如说,公司政策可能明文禁止将公司文件拷贝到外部存储介质上,但有没有一项政策禁止在办公室用智能手机拍照或录音会议内容呢?

许多公司试图通过为员工购买标准手机来进行控制――此举至少可以让这些公司只需支持一种操作系统。伯顿集团的分析师Paul DeBeasi认为,即便那样,用户还是不太会严格遵循标准。他说:“我看到有些员工将公司发放的手机放在左边口袋里,而将个人的手机放在右边口袋里。”

的确,据移动安全和管理工具厂商Good Technology公司最近对欧美300家公司开展的一项调查显示,近80%的调查对象声称:希望把个人设备带到工作场所的员工数量在过去6～12个月里有所增长;28%的调查对象称,曾经由于非授权设备导致数据泄密。

尽管存在种种安全风险,“仍有三分之二的公司未能制定及执行移动设备方面的IT和业务安全政策。”Winthrop说。

Girard也认为,许多公司迟迟没有认识到与手机有关的数据泄漏可能带来的后果。他说:“等到智能手机的安全问题严重到一定程度,人们才会像重视电脑安全那样重视它。”

重视智能手机安全

无论是通过第三方平台,还是通过智能手机厂商本身,集中保护及管理智能手机的技术的确存在。许多分析师一致认为,在诸多智能手机厂商当中,黑莓手机生产商RIM和微软公司提供的管理平台最佳,微软拥有最新版本的Windows Mobile。

至于其他智能手机设备或者支持多家厂商手机的那些企业,有多种方案可供选择,其中包括:Credant Technologies、Good Technology、Sybase、Trust Digital、趋势科技和MobileIron等厂商提供的管理软件。这类平台提供诸多关键功能,包括集中管理以下方面的功能:

密码管理

认证授权

强加密

闲置断开:即闲置一段时间后,用户被迫退出应用会话,并提示输入密码、重新建立会话。

远程清除存储内容:如果设备丢失或被盗,或者用户输错验证证书次数超过规定次数,就启用该功能。

在总部设在纽约的战略传播公司Robinson Lerer & Montgomery,首席信息官Jeff Saper通过向所有员工发放黑莓手机、供员工统一使用,克服了安全难题。Saper使用了黑莓企业服务器提供的450项无线IT政策和命令中的若干项。该公司还采用Good Technology的平台来处理Palm和Treo设备,但是,当Saper决定用单一平台进行集中管理时,它把目光完全投向了黑莓。黑莓的安全措施包括:设备闲置十分钟后,自动断开;如果设备丢失或被盗后担心数据安全受到危及,或者密码输错次数超过十次,就自动远程清除设备里面的数据。Saper说:“就算有人破解得了密码,数据仍是安全的。”最重要的是,用户自己无法禁用任何安全功能。

Saper表示,就远程清除而言,数据备份到黑莓服务器上很重要,那样数据还可以恢复。由于服务器与微软Exchange连接在一起,他还能恢复消息历史。Girard指出,这种备份让人清楚手机上有哪些数据,从而清楚要是手机被盗,哪些数据将岌岌可危。

Girard表示,尽管其他平台也能执行远程清除,但黑莓服务器还提供确认功能,表明确已清除完毕;要是涉及智能手机数据泄密的案子最终上了法庭,这种功能可以让公司处于比较有利的地位。他补充说:“要是你无法证明已清除数据,听起来可不妙。”

Girard还认为,对设备进行设置,以便闲置一段时间后自动断开很重要。他的建议是,对于所含信息很重要的设备,设置成闲置1~5分钟后断开;对于信息较重要的设备,设置成闲置10分钟后断开;对于信息不太重要的设备,可设置成闲置15分钟后断开。员工若要继续使用设备,就应当输入强密码,重新进行验证。

说起来容易做起来难。Girard说:“由于是移动设备,人们觉得应该很容易使用,于是不愿输入7位数或12位数的密码。但4位数密码根本不行,因为别人很有可能看到你输入的是哪几位。”

Girard还认识一些客户,他们允许密码可以输错十多次,之后才禁用设备。这项政策大有问题。他说:“就算你喝醉了,试了这么多次密码后,应该也能进入设备。”

Christopher Barber是总部设在加利福尼亚州圣迪马斯的西部企业联邦合作信用社(Wescorp)的首席信息官,他的企业信息系统支持黑莓和苹果公司的iPhone 3G这两种设备,其中iPhone上运行销售人员所使用的电子邮件和关系管理应用软件。为了保护iPhone的安全,Barber设置了一套标准安全配置文件(包含他希望的所有防范措施),微软Exchange服务器则把该配置文件发送到移动设备上。

防止数据外泄

智能手机最让我们担心的是,它可以作为一种存储设备来使用。用户把智能手机接到USB端口后,即可下载公司文件,并把这些文件带到外面。不过借助全局安全配置文件,可以执行密码强度和加密功能,那样即使用户真的把敏感数据存储在便携式设备上,也可以降低万一手机丢失或被盗时别人读取里面数据的可能性。

Girard表示,采取集中加密方法很重要。所有知名厂商都为各自生产的手机提供了加密功能,但除非企业采取集中加密的控制手段,否则加密功能只是可选的。”