终端安全的五点建议

作为CIO，我最恨讨论安全的话题。我认为唯一能做的事情就是不要被人注意到。还有，比别人做得好一些，这样就可以降低被恶意攻击的可能性。在我考虑到终端的安全性之前，上述想法似乎都是合理且可行的。由于技术日益渗透到我们的日常生活中，边界的安全性变得越发重要了。从技术角度看，工作和日常生活的区隔正逐渐消亡。

为什么管理终端的安全性如此重要呢？因为，用户在事实上成为了所使用设备的管理员。他们毫无限制地访问不受监控的网络，随意下载安装各种应用，让家人和朋友使用自己的设备–而这些人基本上不可能签署相关的使用许可协议或接受安全培训。他们使用云服务传输和管理数据。总之，一旦他们离开了公司防火墙的保护，即刻进入到一个完全不受控制的世界。在设备重新进入公司防护范围之后，我们只好去挨个排查病毒或恶意软件。

这一切听起来让人泄气。但是，除非我们决定对设备的使用加以严格控制（从而使IT部门整日纠缠在可用性、可访问性和自由度这些问题上），否则就不得不接受风险存在的事实，然后采取措施来降低风险。那么，可以从哪些方面入手呢？

• 从政策的角度看，要确保敏感数据不在有风险的设备上出现，或者至少也应该加过密。这里就涉及到如何定义敏感数据了–也许客户名单的泄露还不是很严重，但是如果是信用卡号、社会安全号或者其他数据就麻烦了。
• 由于安全威胁和技术变化如此之大，对员工的沟通与培训就显得尤为重要。终端安全的管理目标并非是静止的，一年前还无需禁止的行为和习惯放到现在可能就是重大的隐患。
• 从技术的角度看，一定要跟上敌人的脚步。选择并部署高水平的防病毒系统，重视日常维护并进行自动升级。几年前在一次出差时，当地的一个经理对我说他的笔记本太慢了。我发现其病毒库已经18个月没更新了。检查之后才知道，原来他禁止了自动更新的功能。在他看来，每天升级太麻烦。对此我很无奈，升级一般就是一分钟的事情而已。出差回来后，我在全球所有的分支机构推行了新政策–将禁止自动更新的功能取消掉。
• 终端在整个安全链条中属于比较弱的一环，因此要使用任何可能的工具来进行强化。类似工具包括基于主机控制的防入侵系统，以此保护设备操作系统在网络中的独立性并在设备上设立防火墙。
• 对于设备管理，可以使用远程镜像和诊断、以目录策略阻止特定站点的访问以及监控和识别未授权的软件。而且，桌面虚拟化可以使终端数据在安全和数据中心专家的掌控之下。

可喜的是，随着移动性的提升，以及设备在日常生活和工作之间链条的重塑，已经有人认识到新出现的威胁，相应地开发产品或策略来降低这种威胁。