互联网+时代，移动安全不可忽视

“邮件门”背后的安全隐患

移动互联时代，人们的上网习惯和行为正在发生变化。据2014年的一项最新调查显示，高达68%的受访者平时更喜欢使用Wi-Fi无线网络，这样一类随时随地都希望保持在线的群体，被称为“Wi-Fi控”，“Wi-Fi控”员工们喜欢手持自己的移动设备，移动办公。

随时移动的网络用户体验越来越重要，但对于组织机构而言，“Wi-Fi控”BYOD带来的各种“麻烦”也正在不断显现，前不久美国国务卿希拉里“邮件门”事件，就给全球企业管理者们重重敲响了警钟。

事件起源于2014年3月。据美国媒体报道，希拉里在担任美国国务卿的4年时间里，没有使用政府提供的黑莓手机，一直使用个人电子邮箱办公，希拉里不断强调，自己使用私人邮箱只是为了“图个方便”，然而，这一“行方便”的举动，令美国人民感到震惊，更遭到了共和党和美国媒体的强烈谴责。

为了方便，希拉里并没有使用政府提供的黑莓手机，而是在一部手机一个邮箱里实现个人生活和工作的切换，然而小习惯可能会导致严重的大问题。经过安全专家的测试，希拉里的邮箱在面临黑客攻击时比较脆弱，即使加密了，也不意味着百分百安全。根据美国相关规定，除一些极为敏感的文件或机密文件，所有由政府官员发送及接收的书信、邮件都需要被记录在案，私人账号只能在非常紧急的事件时才可以使用，比如机构的计算机服务器无法正常运行，但事后也应当将通信内容及时上传国务院服务器。美国信息安全监督办公室前主任J 威廉姆 莱昂纳德认为，如果希拉里用私人邮箱处理了机密信息，是很大的麻烦，她可能违反了政府机密信息的基本规则，严重的话将会损害国家利益。

互联网+时代，移动性考验企业网络

移动性员工的使用习惯正在改变。据统计，目前全球使用的移动设备的数量已经超过了72亿大关，全球移动互联网流量已经超过了互联网整体流量的25%，随着公共云服务的使用和移动设备的激增，用户已经形成了自己惯有的移动工作方式，就像希拉里为什么选择使用个人手机个人邮箱工作，而不使用政府提供的黑莓手机一样。当前，用户可以在企业和第三方服务器之间进行数据的移动和切换，这就催生企业必须找到一种可行的架构来监控和规范移动安全管理。

小习惯导致大问题。希拉里使用个人邮箱帐户同时收发工作邮件这件事，看起来似乎没什么大不了，因为这种行为容易很隐蔽，并且也没有导致直接的后果，但此次“邮件门”事件，却给她和美国政府造成了大麻烦。这说明，看似员工一个小小的工作习惯，从长远来看，很可能会导致更严重的后果。引申开来想一下，且不说央视3.15曝光的公共场所各项安全入侵，引发了消费者手机银行信息等泄露造成的大量个人损失，单从企业层面来讲，当全球越来越多的用户通过智能手机、平板电脑查收邮件、沟通工作时，他们的网络接入环境、终端设备型号可能不尽相同，随着移动设备越来越多地承担起“事务处理工具”的角色，网络层的动态响应能力、安全性和可管理性如果不能完善，将会带来多大的隐患和危机。

虽然很多企业正在努力消除移动化带来的数据风险，传统的防火墙、IDS/IPS、AV、反垃圾邮件、网页过滤等安全手段可以很好抵制外部风险，但令人不安的是，当前更多风险来自企业内部。然而移动性正在挑战固定的传统安全架构，因为更多的移动设备正在越过安全控制，直接连入无线网络，针对企业内部拥有的设备和员工自带的设备的攻击途径在不断发展和变化，今天，由于有限的可视性和缺乏策略控制，使企业对于一项新的风险显得束手无策。由于各移动设备可能带来不同的安全威胁，同时很多企业对网络安全方面的投资集中在短时防御，而缺乏长期规划等问题，员工随处使用这些移动设备将带来更多潜在的安全和数据丢失隐患。

此外，由于移动设备的尺寸较小，将导致它们容易丢失或被窃，而没有密码保护的设备就显得更加令人担忧。事实证明，移动设备的失窃，重要信息的丢失，是企业IT管理部门面临的头等难题。在现在的企业网络环境中，“Wi-Fi控”员工自带设备(BYOD)正在成为一项严峻的考验。其中，企业数据安全、员工身份管理位列前两大要素。

传统的安全手段只限于保护固定的端点和定义好的数据路径，这已经不足以应对今天的移动性安全管理，企业需要重新审视和制定内部的BYOD策略，一致性的安全和自适应的可信管理策略成为当仁不让的重中之重，这种策略可以保护企业和客户的利益，那些试图打破或者跨越这些策略准则的员工将会冒很大的风险，在银行等一些行业，对于安全合规化的管理要求前所未有的增强，一个好的安全策略应该能够基于角色设置严格的企业网络接入规则。这也无疑成为了员工“行方便”背后，各组织机构必须亟待部署的方案。

移动安全人人有责：安全策略助力提高意识

企业正在千呼万唤一种可信任的安全策略模型，这种信任不是假设存在的，而是必须赋予员工正确的网络接入权利和权限。美国Aruba公司的“自适应可信设计方案”，给我们提供了一个很好的解决方法。这项方案通过基于用户角色控制，能够确保移动设备的合规性管理和构建安全的工作流程，可以帮助企业了解“Wi-Fi控”员工的上网行为，更好地履行整体安全策略。同时，企业也可以根据员工与设备交互的情况，授予不同的认证接入权限。企业部署安全策略，除了确保法规遵从性和简化网络操作之外，最大的目的是旨在通过技术手段帮助员工调高移动安全意识，让员工通过全方位的身份管理解决方案，随时随地安全地访问他们所需要的内容和应用程序，通过这样一个统一的、安全的登录体验，方便员工在自己的移动设备上更有创造力、更高效地工作，真正打造安全和值得信赖的移动体验。

移动很方便，安全价更高。希拉里“邮件门”事件，提醒了我们每一个人，不是么?

佰佰安全小知识：

移动支付在给人们带来便捷的同时也带来了安全隐患。在各大媒体的报道中,用户不慎泄露个人身份信息以及手机校验码,从而导致资金账户被窃的事件屡有发生。在移动支付应用快速发展的今天,安全仍然是不容忽视的重要问题。

2014年,我国移动支付市场飞速发展,市场研究机构易观智库发布的数据显示,2014年第三方移动支付的交易规模达到了77660亿元,环比增长近500%。伴随着市场的飞速发展,安全威胁也正在呈现上升趋势。百度手机卫士发布的《2014移动安全报告》显示,截至2014年12月,我国存在支付风险的用户占比达到21.8%,超过5800万户,平均每5个使用移动支付的用户中就有1个面临着支付安全风险。支付宝统计显示,2014年,支付宝主动帮超过700万面临风险的用户避免资金损失。从拦截和处理的风险状况来看,最常见的风险类型是信息泄露引起的账户被盗和个人欺诈,占到网上支付风险的八成以上。

如何保障移动支付安全?很多用户都会发出如此疑问。安全专家建议,用户日常不要将银行卡、身份证信息和手机校验码泄露,社交平台上不要随意点击接收陌生人发来的文件、二维码和链接。具体而言,用户可以使用以下手段保障移动支付应用的安全。

1.双重身份验证双重身份验证的好处在于,即便用户登录了手机支付应用,输入密码后,仍需输入验证码才能完成支付。也就是说,如果有人知道你的支付账户和密码,希望通过网页进行支付,没有验证码依然是无法实现的;另一种情况下,即便手机被盗,小偷基本上也不会知道你的账户密码,所以无从下手。

2.使用官方应用商店的支付应用显然,越狱后的ios设备及android设备都存在一定的安全隐患,主要来自于非官方验证的应用。所以,不要从任何非官方应用商店下载安装支付应用,因为它们都可能存在盗取用户信息的恶意代码。

3.加强设备本身的安全性如果用户手机内置指纹传感器、同时支付应用又支持指纹验证的话,那么一定要开启这项功能;如果不支持,最起码要设置一个额外的锁屏密码。另外,安全专家还建议用户查看手机的隐私设置,确保应用程序访问权限的合理性。

4.使用信用卡而非借记卡如果使用手机支付应用购物,在允许的情况下,尽量将信用卡绑定到支付应用中,而非借记卡。主要原因在于,一般银行的信用卡都拥有补偿条例,比如用户遭到盗刷时可补偿一定金额,但借记卡往往没有。

5.使用可信任的因特网连接如果是在咖啡厅、餐厅等公共区域,建议不要使用公共wifi进行支付。因为一些黑客往往喜欢潜伏于此,通过进入安全性较低的公共无线网络来获取用户信息。即便用户的支付信息是加密的,也有可能被手段高超的黑客破解,从而获得支付账户、卡号、密码等信息。

6.设置账户更改警报通常来说,支付服务都拥有一些账户改变警告的通知设定,比如改变密码、支付行为、绑定手机终端等,将这些服务都开启,有助于我们即时了解支付账户的变化。同理,信用卡也广泛支持消费短信、微信提醒服务。

7.确定收款人信息这个部分其实不仅仅适用于手机支付,任何线上、线下的转账,都应该首先确定好收款人的信息。不要轻信一些所谓“房东”、“好友”,一定要在充分确认对方身份后再进行转账。

( 责任编辑: 刘长利 )