终端管理：数据为王

私人设备不应作为企业设备对待，因此企业和私人数据、应用和设置应该隔离。通常，使用默认的工具并不是一种优雅的解决方式。

例如，使用Microsoft Exchange的组织会使用默认的ActiveSync管理移动设备。一旦用户在自己的设备上添加Exchange后，他就会被迫接受服务器端设置的终端管理和安全策略。这对公司的设备有好处，但如果员工离职或者丢失设备，保护敏感数据的唯一选择就是执行远程擦除命令，破坏掉设备上所有的数据。

移动设备管理（MDM）有多种不同的实现方法。MDM专注于设备的管理功能如何允许更大程度的控制，这些包括全球定位系统（GPS）、指定密码和超时需求，需要证书访问Web服务或虚拟专用网络（VPN）。

MDM的集中管理的特征经常被集成到其他IT领域，如帮助台进程和使用报告。注意，IT需要获得用户批准。人们应该了解管理员可以屏蔽某些设备功能，跟踪他们的动作，控制他们的私人数据。你可以跟员工协商终止这种端点管理，但如果你最终从他们的照片和孩子的生日聚会上消失，这会让人不安。

来看看那些尊重将个人设备与工作应用和数据隔离的MDM产品，比如黑莓企业服务。

其他软件，如三星的Knox和VMware Horizon Mobile，通过虚拟化或双角色技术将个人设备和工作环境隔离。

数据为王

IT需要接受这样一个事实：集中式数据保护不再是最好的方法。甚至在智能手机革命之前，静止的敏感数据通过笔记本电脑、USB密钥和丢失磁带而泄露；企业管理员在服务器端实施严格控制，实现审计控制，使用终端管理工具，如全盘加密。

现在，这些文件在多个移动设备和网络中移动。你不能强迫一个iPad或个人Mac笔记本电脑加密。相反，以新的方式对待这些资产。通过网络访问数据是一种比较轻松的访问方式，但数据和移动应用安全必须是首要的。

任何工具需要集成到你的身份验证系统中，支持通过现有目录服务的角色访问。幸运的是，活动目录和其他轻量级目录访问协议服务能够让你的验证扩展到互联网。这些技术通常使用第三方云服务来实现集中化，并兼容尽可能多的云应用。

决定如何将数据交付给终端是一个关键性的挑战。移动应用管理系统可以在应用程序级别上控制企业的访问。例如，你可以为iPhone提供一个完全受控制的电子邮件应用，需要自己的身份验证和加密，在不影响设备或任何个人数据的情况下可以禁用该应用。

不过这很容易混淆设备的内置应用与企业应用。IT可以制定已批准的应用，允许数据存在任何设备上，并通过加密的方式进行管理。

数据访问控制应该包括云存储如Box和其他软件即服务（SaaS）应用如Salesforce.com。这些数据可以通过专用的应用程序和网站轻松访问。同时还提供了应用编程接口，可插入自定义应用或其他SaaS用例。除非你可以把数据放到安全的地方，不然用户总有办法将数据放到错误的地方。

如果你需要进一步锁定网络交互，考虑VPN或代理来控制Web过滤，防止黑客和恶意软件。这是一个老式的但仍有效的跨平台解决方案。事实上，主要的网络供应商提供的VPN软件可以作为移动设备的应用。因为Android和Java等平台已经成为恶意软件的主要目标，组织可能需要用到VPN。

在与内部网络建立完整的连接之前，充分利用安全修复的好处，并信任内部网络外的无法进行完整管理的设备。基于云计算的安全代理和VPN成为本地流行的替代工具。

是用户，而不是设备

端点管理已成为杀伤力极强的怪物，所以尝试从终端用户的角度来看，而不是设备。这将帮助你了解你需要做些什么来确保数据的可用性和保护任何设备或服务。

记得执行类似Windows PC上的密码和PIN，超时设定和其他标准的安全特征。需要让用户知道，当他们携带公司数据时，他们的设备可以通过内置的GPS进行追踪，如果IT需要远程擦除手机，数据可能最终消失。为用户提供简单的方法连接并注册门户网站或其他自助服务。

报告是远程设备管理的关键。即使你有能够提醒你使用情况并显示问题如平板和手机被root的系统，对此不要太过于信任。

如果你通过智能手机获取数据，考虑使用应用处理认证和加密。也许你可以创建自己的店面，其中包含企业批准的应用。确保不要将企业数据放到未加密的个人设备上。

每个人都有自己的工作桌面、家里的笔记本电脑、智能手机和平板电脑等等，不管接下来是什么，你都可以从任何地方提供具有一致性和安全性的富有成效的工作方式。