原标题：共克时艰 | 从疫情下的移动办公看BYOD风险

BYOD（Bring Your Own Device），指利用自带的个人电脑、手机、平板等移动智能设备实现移动办公，不受时间、地点、环境的限制。目前，无论企业规模大小，都已经或多或少地将BYOD作为其企业数字化建设的重要环节。实际工作中，BYOD扮演的角色多为企业领导及员工在非核心业务或非工作时间的辅助办公手段。

近期，大部分企业开启了漫长的远程或移动办公模式，要求员工在家办公、物理分散办公或轮流到岗。在这段特殊时期，原本作为辅助手段的BYOD，开始扮演起了移动办公的主要角色，例如，在家办公的员工需要通过手机或平板及时处理邮件、批复文件、编辑在线文档、小程序统计打卡等，甚至不得不临时使用个人电脑来处理紧急事务。特殊时期凸显企业和员工对BYOD的依赖，而BYOD也的确为企业带来了高效率的协同工作模式和良好的工作体验。

但实际上，很多员工并不了解使用个人设备对工作和个人数据产生的影响，很多企业也不明白他们事实上为其后果承担了责任。如何管控由此带来的企业敏感信息泄漏风险以及个人隐私泄漏风险，是亟待解决的问题。

这次疫情除了对企业IT应急能力以及移动办公能力的考验之外，同样也使得企业对其BYOD的日常管理水平进行了一次审视。本文将从内控合规角度对BYOD管理进行分析探讨，与企业管理者共同思考，共克时艰。

常见BYOD运用领域

日常事务处理

一般企业中，BYOD常见的运用场景如邮件收发、OA申请审批、自动化费用报销、在线文档编辑等。在疫情期间，几乎所有企业会请员工使用其手机进行日常健康情况申报等。企业对于BYOD的管理，其技术核心是应精确区分企业数据与个人隐私，合规核心是应制定公平原则，同时覆盖对企业以及员工的数据保护，尤其需要向员工明确企业是如何保护员工的私人数据。

移动医疗

具体表现为医护工作者利用自身携带的移动智能终端实现移动医疗。例如，医院要求医患数据不能出医院，但国内医疗资源相对匮乏，很多医生就会身兼数职跑多个地方，人不在医院，又需要关注患者的检验结果，于是就产生了在满足合规情况下的移动医疗。在这种情况下，医疗数据可能有意或无意被泄漏，BYOD的数据保护成为关键风险领域。

政府机构

对于政府部门，由于电子政务的普及，公务人员需要提高工作效率，并且政府内部即时通讯的保密性很强，公共的即时通讯工具并不适用。在此背景下，公务人员可能使用其BYOD设备进行移动办公，这对BYOD的安全管理也提出了要求。

移动教育

应对疫情，教育部发起了“停课不停学”的号召，要求中小学以及各大线下教育平台开展线上学习。教师和学员通过BYOD设备进行教学互动。这个环节中，除了对基础设备、网络设施的稳定性有需求，线上平台开发商同样要关注跨平台测试的重要性，例如在开发人员的计算机上显示正常的内容在师生的BYOD设备上很可能无法显示。企业在开发过程中需要考虑BYOD设备多样性带来的影响，可使用自动跨平台测试工具进行测试。

BYOD管理建议关注点

政策先行，明确企业及员工的权利及责任

实施BYOD之前，建议企业先对其数据进行分级分类，制定并落实相应的防护策略，在此基础上，合理评估BYOD可访问哪些系统中的哪些数据。例如，一般情况下BYOD不应访问到高敏感的信息，如企业的客户信息。

BYOD领域中最容易引发高风险的领域要数敏感数据的泄漏。有鉴于此，在发生设备丢失、被盗或强制破解的情况下，大多数企业出于成本的考量，往往乐于直接清除设备上的全部数据。想象一下如果你家三岁的小家伙想猜测密码在你的手机上看动画，但企业应用账号的安全策略会强制手机自毁以防止敏感企业数据未经授权访问，事后虽然企业数据被顺利恢复了，但你的个人数据却永远消失了。因此，在个人隐私法律越来越严格的今日，常见在企业如何保护员工BYOD个人数据方面会出现法律纠纷。企业应在其BYOD制度中明确企业及员工的权利及责任，并与员工签署BYOD条款，条款应当对双方公平，且员工应在被告知遵循该条款对其BYOD使用的限制后，对是否使用BYOD有选择权，日常企业应向员工宣贯正确使用BYOD的方法并告知罚则。

另一项需要在制度中明确的内容是BYOD的费用谁来买单。当企业开始大规模运用BYOD后，不得不面对其中的成本问题，即4G、5G设备的数据流量成本该由谁来承担。如果是为了工作需要，那么员工可能不会愿意自行承担这笔费用，而企业也应为其承担的流量设定上限。企业中，常见三类费用处理方式：不报销、定期按比例报销、一次性全额报销。企业也可以根据岗位来设定差异化的报销方式。无论处理方式如何，企业都应事先在制度中做出有针对性的规定。

结合工具，部署严格的数据防护措施

在访问控制方面，企业应实施强身份认证。在认证时，应通过技术手段来控制谁可访问、哪台设备可访问，并采取双因素认证方式连接企业网络，且设置合理的闲置会话登出时间。在与企业网络建立链接时，应采用强加密算法及通信机制（如SSL）对数据传输进行保护，并对BYOD进入企业网络后的操作进行记录并审计。在应用系统层面，应配置与企业制度一致的应用层面强健密码策略及锁定策略；在设备层面，应至少从条款中要求员工将设备层面密码设置为满足企业的强度要求。

在恶意软件防护方面，企业应建立APP黑名单维护流程，并告知员工禁止安装黑名单APP。每种操作系统上的恶意软件威胁程度有所不同，即使一般认为封闭、安全的手机操作系统也并非对恶意软件完全免疫，而开放平台的手机操作系统其版本多样化使得防护难度更大。企业应在设备层面限制用户仅能从APP商店下载APP，若无法在设备层面进行限制，则应通过系统控制仅能在适当的检验程序后方可从APP商店或可信途径下载APP。

在病毒防护方面，建议企业在操作系统层面实施有效的沙箱技术。对于不能实施沙箱技术的设备，应从条款层面要求并提醒员工安装防病毒软件以及最新病毒库；企业可向员工提供防病毒软件或者系统控制以确保仅具有最新版本防病毒软件及病毒库的BYOD设备才能被允许连接企业网络及系统。

在数据隔离方面，企业应确保企业数据仅能存储于BYOD中的安全容器，从而将个人数据和企业数据分隔开来，并在安全容器内部使用强密码算法对数据进行加密，同时进行数据防泄漏保护，包括禁止复制黏贴、本地打印，禁止在可移动SD卡以及其他可移动媒介存储企业数据，禁止向其他设备或云等存储同步企业数据等。

在数据防泄漏层面，企业应从条款层面要求员工禁止越狱或破解root权限，并定期检测BYOD设备是否已被越狱或破解权限。企业在发现暴力破解后应立即删除企业数据（如检测到密码尝试次数达到上线、越狱、设备丢失等）。企业应建立适当的设备丢失、转移及报废流程，尤其当设备持有人变更时也应当遵循该流程。

定期评估，及时发现并处理违规行为

实施BYOD之后，建议企业至少一年一次，或在操作系统版本有重大变更时应审阅评估可实施BYOD的设备类型及操作系统。评估需要覆盖数据防护方面的内控合规要求，例如上文所提到的禁止越狱、数据泄露防护、设备丢失及转移等流程的遵循情况等。同时，我们也建议企业对BYOD实施情况开展审计或检查，频率为至少一年一次，或者在有任何BYOD新举措引入时、突发数据泄露事件时，又如在此次疫情中导致BYOD大量被使用时。企业应根据制度，对检查所发现的员工违规行为采取措施。

对于BYOD管理，中小规模的企业可能正在探索安全的移动办公之道，大规模的企业可能已经注意到了实施BYOD后带来的法律风险、流程风险以及技术风险并予以应对。无论何种规模的企业，在经历了此次疫情的大考之后，管理层势必会对企业基于BYOD的移动办公模式进行复盘及思考，以期进一步提升企业的数字化管理能力、应对数字化风险。

莫道浮云终蔽日，严冬过尽绽春蕾。安永将携手企业，一起推进疫情防控、复工复产，并一同探索新的管理模式、推动转型。让我们一起共克时艰，戮力同行！

安永“共克时艰”系列文章，助力企业快速响应：

本材料是为提供一般信息的用途编制，并非旨在成为可依赖的会计、税务或其他专业意见。请向您的顾问获取具体意见。

责任编辑：