BYOD安全与员工隐私 企业如何才能两者兼顾?

有80%的BYOD使用者对企业雇主存取其私有设备上的个人资料感到疑虑,担心他们自己所在的位置、使用的App、网页浏览记录和下载的信息受到不当揭露。

愈来愈多的企业允许员工携带自有的移动设备(BYOD)上班,并且使用在日常工作之中,一旦这些移动设备离开了企业环境,企业要如何管控移动设备上所储存的大量商业数据,实施有效的安全管理,同时也要避免侵害员工的隐私?

BYOD

随着Apple iOS、Android及Windows手机与平板计算机的销售如雨后春笋般成长,其中有一项营销的策略在于厂商让消费者明白了,购买这些移动设备不只可以作为生活中的娱乐之用,更可以同时使用于工作之中,创造了使用者在购买时一次满足的强烈欲望。

企业愿意让员工BYOD并成为工作中的一项工具,主要就是希望透过这些移动设备的协助,能够增加更多的工作效率,并且有机会拓展更多业务,而藉由员工自备移动设备,也可以让企业降低硬件采购与更新的成本。

另外,使用移动设备的好处是,员工即使离开了工作场所,还是可以在往返公司的途中来存取工作资料,或是在出差时利用它来收发个人电子邮件或浏览网页之用,同时兼顾并保有生活与工作上的多重用途。

移动设备的安全与隐私风险

但是,无论是由公司添购或是私人拥有的移动设备,只要是会将它连接至公司网络,就必须依照公司的资安政策,进行身分验证,然后赋予适当的权限,以便降低信息安全的风险。

一般而言,移动设备可能造成数据外泄的原因,包括遗失设备、感染恶意软件、未经授权的不当泄露等。

目前在企业内可使用的移动设备,大致有以下两种情况,第一种是由公司所配发的设备,所以公司有权可以主动进行适当的管控。另一种则是个人拥有的移动设备,对用户而言,这些移动设备是自己购买的,在使用时不必受到公司信息部门的管辖,也可以拒绝受到不必要的安全管控。

目前,大多数企业只站在安全管理的角度来进行控管,而忽略了可能会有侵犯个人隐私的情况,举例来说,如果发生疑似数据外泄的事件,企业可能会要求员工必须交出其使用的移动设备,以便检查其中所存取的公司文件、浏览记录与所储存的数据等,撇开由私人所购买的设备不看,即便移动设备是由企业所提供,但是大多数的使用者,仍可能会将它使用在私人用途上,像是浏览网站、使用Facebook等社群媒体、下载音乐、影片、应用程序和游戏等,这些仍是与个人隐私有关的信息。

BYOD可能造成的隐私问题

根据美国的一项调查指出,实行BYOD的使用者有80%对于企业雇主存取其私有设备上的个人资料感到疑虑,担心他们自己所在的位置、使用的App、网页浏览记录和下载的信息受到不当揭露。

站在企业信息安全的角度而言,进行安全管控以降低风险当然有其必要性,但却不能以此就作为牺性员工个人隐私的充分理由。而员工兴高采烈地带着自己的移动设备,在加入公司的BYOD行列之前,也要想想可能会对自己造成什么影响。

根据云端安全联盟(CSA)所提出的移动设备安全指南,提到员工在使用公司所提供的BYOD方案时,应该要先了解以下几个问题:

 公司是否会读取移动设备上我的个人资料?
 若需要进行法律相关调查时,对我的移动设备会造成什么影响?
 如果我的移动设备遗失了,将会发生什么事?
 在遗失移动设备时,是否可以要求进行完整的资料清除?
 当我采取了BYOD方案,但是在离开公司之后,将会发生什么事?

至于针对企业在建立BYOD的政策时,也需要考虑以下的事项:
 在什么情况下,企业需要取得移动设备的所有权?
 在什么情况下,移动设备的数据会被清除?这需要考虑当地的法律和法规。
 ‧监控员工的数据与行为,应该合乎员工所面临风险的比例原则,尤其特别需要考虑所储存的位置信息。
 可授权进行监控员工的管理人员,应该要被清楚地识别出来并了解其责任。
 所有的监控在实施时,应尽可能地将侵犯行为控制在最小的范围,并且只获取最小量的员工数据。
 了解在某些案例中可能也会牵涉到非企业的员工,例如员工的家属可能也会使用员工的移动设备。
 移动设备的数据清除,应只限于公司的数据。

保障移动设备安全与隐私的做法

为了因应BYOD的需求,同时兼顾企业信息安全的管理,由厂商所提出的第一代移动设备管理方案MDM(Mobile Device Management),很快地就受到企业的欢迎。MDM方案主要是针对移动设备本身的安全管理,提供了设备监控、远程锁定、网页过滤、禁用相机等功能,但相对地也比较难以区隔在使用方面的个人隐私要求。

为了要同时兼顾工作与个人使用方面的需求,后续推出的应用程序管理MAM(Mobile Application Management)方案,让存取企业数据的环境与个人在手机上所使用的行为能有所区隔。

MAM透过建立虚拟的企业工作区域,让用户自带的移动设备可以达成公私两用的弹性做法,对企业来说,独立的工作区域也可降低数据外泄的风险,但是在隐私方面,虽然可以做到应用程序上的数据区隔,却也仍然无法避免企业仍可保有追踪用户的位置信息。

对企业来说,能够保障个人隐私的作法有哪些?以下是有关实施时的参考建议。

1. 避免不当的位置追踪:企业导入移动设备管理方案 的好处,就是可以实时追踪移动设备的所在位置,以便可以随时启动远程锁定、远程警示和数据删除等功能,除了GPS之外,当使用者处于建筑物内部时,也可以透过所接入的无线网络或3G网络来侦测出所在的地点,换句话说,企业的信息部门有能力随时掌握使用者的行踪,因此企业需要明订在什么情况之下,基于何种理由和目的,公司可以启动追踪功能,并且是否要预先获得使用者的同意。

2. 避免个人资料的遗失:一旦企业需要启用远程变更 密码、强制锁定和删除时,请先确认会由谁来负责进行授权,并且将会如何进行。如果设定了自动删除功能,那么是否仅仅会删除企业相关的数据和应用程序?是否也提供了复原设备数据的功能?

3. 妥善管理联机信息:除了所在的地点和位置信息之 外,一旦使用私有的移动设备链接了企业网络,相关的网络活动也有可能受到企业的过滤与监控,在使用者离职之后,这些涉及个人活动有关的资料,请确认是否还会继续保留?

4.避免不当的隐私审查:如果涉及相关的法律事 件,企业是否需要审查用户自带的移动设备,内容将会包括了这台设备上的网页浏览纪录、下载数据、歌曲、影片、电子邮件内容、联络人、社群媒体的活动、通话纪录,甚至是所存放与家人有关的信息,这些都有可能会被揭露,请评估可能的冲击与结果。

5. 厘清应用程序的安装限制:针对移动设备的恶意 程序愈来愈多,企业为了降低安全风险,可能会限制员工在移动设备上任意安装App,但若是员工私有的移动设备,员工仍然保有权力可以自己安装软件,因此这一部分就需要企业事先与使用者进行沟通,明订应用程序的安装要求。

6. 制定使用政策并实施教育训练:透过政策明订的内 容,向员工说明以便取得其同意来实施某些安全做法。例如启用远程删除功能、数据加密等,会是比较容易获得员工尊重与信赖的做法。

最后,建议企业在移动设备的安全管理方面,尽量以劝导、训练和警示,代替全面监控员工的做法,换句话说,请千万不要假安全之名而行侵犯隐私之实,因为在移动设备中的个人资料,同样也受到个人信息保护法的保障,若企业因此而违法的话,到最后肯定得不偿失。

移动信息化交流QQ群:一号群:211029692 二号群:344692795 CIO交流群:316076815(需认证)

移动化问答社区:wenda.yidonghua.com



1 星2 星3 星4 星5 星 (还没有打分,快来打分吧!)
Loading...
 
已有 1 条评论
  1. 安全!

    2014年5月27日 09:49来自新浪微博 回复
返回顶部

无觅相关文章插件,快速提升流量