您可以捐助,支持我们的公益事业。

1元 10元 50元





认证码:  验证码,看不清楚?请点击刷新验证码 必填



  求知 文章 文库 Lib 视频 iPerson 课程 认证 咨询 工具 讲座 Modeler   Code  
会员   
 
   
 
 
     
   
 订阅
  捐助
企业移动办公的六大安全风险与应对实践
 
作者:豆豆瓣 来源:51CTO 发布于:2016-12-26
   次浏览      

随着移动计算时代的到来,在家办公、异地办公和远程办公等词汇开始逐渐成为“移动办公”的各种表现形式,信息数据和计算终端走出企业的安全边界是不可争议的趋势。现今的差旅人员总得随身带着平板设备或智能手机,携带自有设备BYOD逐渐流行,而信息安全问题也越来越多地浮出水面。

信息安全问题无论是对传统办公还是移动办公,都非常重要:在传统办公场景中,由于设备单一、数据边界清晰、使用环境明确等因素,使得企业数据始终在可控的范围内流转;然而,随着移动化相关技术的高速发展,企业数据的载体已由传统的PC、笔记本,转移到了智能移动设备、移动应用App上;这些新型的设备和应用所带来的不仅仅是新兴的办公形势,也将企业数据的安全管理边界无限延伸开来,早已远远脱离了企业内部的管控环境。针对这样的现状,现阶段,仅有很小一部分企业针对移动办公部署了相对完整的安全解决方案。 移动办公面临的安全问题是比传统办公更为复杂的设备类型和数据运行环境。

传统办公可以依靠技术手段解决大部分的“人为”问题,相当于遏制大部分“人”的安全风险;然而目前移动办公很难通过技术手段规避“人为”风险,比如个人对移动设备的使用习惯造成的信息泄露风险,人为因素导致的设备丢失等,这些全都是传统安全手段无法防御的层面。

移动办公面临六大安全风险

1、移动设备具有易失性,从而具有泄露企业数据的隐患

移动设备由于其便携性极易丢失,每年有7000万部手机丢失,其中60%的手机包含敏感信息,而移动设备中所保存的企业敏感数据也因此面临泄密风险。设备丢失不但意味着敏感商业信息的泄漏,所丢失的设备也可能会变成黑客攻击企业网络的跳板。

2、员工主动泄密,给企业带来数据泄露的损失

根据调查,尽管85%的企业采取了保密措施,但仍有 23% 的企业发生过泄密事件,员工的主要泄密途径除了拍照泄漏、存储在手机中进而外泄外,还有离职员工拷贝企业重要信息,从而出卖资料。

3、移动操作系统的碎片化问题严重,统一管理不便

Android设备就有2万多款不同型号,员工自带的设备多种多样,如何保证策略执行的一致性、如何在统一的平台上管理各种设备是企业面临另一个挑战。

4、应用质量参差不齐,应用市场安全性堪忧

据360的数据统计, 78%的知名应用被盗版,第三方应用市场及论坛仍然是恶意程序传播的主要途径(占61%),最不安全的某小型应用市场的恶意程序占比竟高达20.2%,应用市场的安全性堪忧。

5、手机病毒数量和类型的高速增长,使移动设备成为渗透企业网络的跳板

在移动互联网越来越深入人心的今天,攻击者已经开始将视线由PC转向了移动设备。同时,由于Root权限滥用和新的黑客攻击技术,移动设备成为滋生安全风险的新温床,容易成为黑客入侵渗透企业内网的跳板。

6、公私数据混用,个人隐私难以得到保障

同一移动终端设备上既有个人应用,又有企业数据和应用,个人应用可以随意访问、存取企业数据,企业应用同样也会触及到个人数据。如何明确区分并隔离移动终端上的企业/私人数据与应用,禁止企业数据被个人应用非法上传、共享和外泄,同时禁止企业应用访问个人数据,尊重移动终端上的私人数据是一个难以避免的问题。

移动安全风险的防护

对于此类安全风险我们主要从两个方面考虑防护:设备和应用。基于近现代电子计算基础架构来看,一般的计算终端,自底向下简单划分为硬件、操作系统、应用软件和数据文件。传统计算终端如PC、服务器,都是比较典型的例子;但在移动化终端领域,由于技术和商业因素,硬件设备和系统、应用软件app和数据文件都形成了形式上的紧耦合,如要对其上的数据进行管理,实现可控,实际上是对数据保存和运行的载体——设备和应用进行统一的安全管理和防护。

在设备层面上,主要是加强对移动设备的本身的管理控制。移动端的杀毒能力解决了病毒的威胁从而泄露企业数据的问题,对于设备的管理策略解决了移动终端丢失或者被窃而导致的企业数据泄露问题,通道数据的加密与设备准入策略解决了移动终端成为入侵企业网络的渠道问题,数据的追踪审查与设备操作行为审计解决了员工恶意泄密问题。公私数据分离与沙箱技术解决了员工个人隐私的安全性以及工作和个人生活的平衡性问题:工作数据与个人数据完全隔离,个人区不能访问工作区数据,同时工作区也不能访问个人区的数据和应用,保证了个人数据的隐私和企业数据的安全。最后,对设备硬件信息的实时收集,可以为企业IT管理者提供有效的资产管理数据和信息。

在应用层面上,可以通过建立企业内部应用商店,实现统一、安全、受控的移动应用推送的渠道和手段,一方面可以保证内部应用在分发过程中完整性和安全性,另一方面也提高了企业内部软件app交付的有效性。从应用本身来说,通过进行对应用软件app加密、加壳保护,不仅可以使应用app远离恶意破解、反编译、二次打包、内存抓取等常见的威胁手段;同时,也可以给应用app提供了额外的安全保护,如:数据加密、签名校验、防内存修改、完整性校验、应用安全检测等。通过对应用程序深度加密处理,程序文字信息加密功能,能有效防止应用被反编译和恶意篡改和,保护应用不被二次打包,保护数据信息不会被黑客窃取。给予应用最强保护。

   
次浏览       
 
相关文章

iOS应用安全开发,你不知道的那些事术
Web安全之SQL注入攻击
移动APP安全在渗透测试中的应用
从Google备份互联网看“数据安全”
 
相关文档

web安全设计与防护
互联网海量内容安全处理技术
黑客攻击与防范技术
WEB黑盒安全检测
 
相关课程

WEB网站与应用安全原理与实践
web应用安全架构设计
创建安全的J2EE Web应用代码
信息安全问题与防范
最新课程计划
信息架构建模(基于UML+EA)3-21[北京]
软件架构设计师 3-21[北京]
图数据库与知识图谱 3-25[北京]
业务架构设计 4-11[北京]
SysML和EA系统设计与建模 4-22[北京]
DoDAF规范、模型与实例 5-23[北京]

iOS应用安全开发
Web安全之SQL注入攻击
APP安全在渗透测试中的应用
初探PHP的SQL注入攻击的技术
从Google备份看“数据安全”
更多...   

WEB网站与应用安全原理与实践
web应用安全架构设计
创建安全的J2EE Web应用代码
注册信息安全专业人员(CISP)
信息安全管理
信息安全问题与防范

中国银行 信息安全技术及深度防御
Web应用安全架构、入侵检测与防护
某财税领域知名IT服务商 Web安全测试
普瑞克斯 web安全设计、测试与优化
北京和利时 性能和安全性测试
SUN中国工程研究院 JSF框架、安全
更多...