[[175391]]

CIO們如何實施***的移動安全? CTO Niel Nickolaisen認為可以從偉大的心理學家Abraham Maslown那里找到答案。

Maslow的需求層次理論從最基本的需求開始(“生理”需求和“安全”)，然后達到人類需求的***層次——自我實現。其中還包括歸屬感，愛和尊重。歸屬感，愛和尊重都是雙向模式——我們期望與他人溝通，相愛，我們希望他人與我們溝通，愛我們。我們想要有自尊，并獲得尊重。

作為IT領導人，破壞我們與客戶之間的關系，失去他們的喜愛和尊重的最快方式，就是對渴望自我實現的人，強加太多控制。具體來說，CIO們的IT計劃充斥著，限制內部用戶使用技術，能做什么和不能做什么。我很久以前就意識到影子IT的存在，因為我的用戶無法從我的團隊，得到他們真正需要的。

***的移動安全沒有簡單的答案

與此同時，我們必須考慮某種程度的控制，應對有害行為的風險。我們需要阻止，有人從街上撿到一個U盤，插入USB硬盤驅動器，然后釋放病毒或勒索軟件。我們需要有適當的控制，這樣才不會丟失關鍵的客戶或雇員數據。

應用到移動設備，更需要考慮風險和控制之間的平衡。移動設備(智能手機和平板電腦)，從本質上講， 旨在混合企業和個人的計算機體驗。我的手機存儲了個人照片，架構圖和流程圖。我的應用包括企業電子郵件和費用審批，也有我的個人手機銀行。

我們如何提供***的移動安全，而不讓企業中的每個人覺得移動計算體驗是噩夢呢?應該允許什么，阻止什么呢?

當我面對模棱兩可，看似無法雙贏的局面，我試著回到一些基本原則。其中之一就是，在評估風險后，才做出決定。我承認，聽起來有點老生常談，但往往我會做出平等對待所有風險的決定。

***的移動安全評估風險可能性/影響

移動設備，會帶來什么風險?是否在設備上存儲機密或關鍵數據?如果有，什么數據?如果有人可以獲取這些數據，他們能做些什么來危害企業?我們的電子郵件包含什么類型的信息?如果有人獲取那些業務流程的圖片，會危害企業嗎?如果有人能夠訪問我的費用報告應用，能干些什么?

當評估風險時，我首先確定特定的風險，然后對每個風險，定義風險的可能性和影響。然后，找出***的，最實用的方法來減輕風險，使用***可能性-影響的組合。

例如，在手機上可以存儲哪些員工或用戶的個人身份信息(PII)?如果可以存儲很多，我們就有可能丟失數據，并且根據PII的深度和廣度，影響可能是巨大的。在這種情況下，***的移動安全計劃必須有強大的PII風險緩解措施，可能要求我們進行適當控制。但至少，通過描述可能性-影響組合，我們可以清楚風險，并進行減緩控制。

另一方面，如果沒有人能夠在手機上接收或存儲關鍵的PII，可能性-影響組合就較小，我們可能就不需要控制用戶的生活。這種方法將我們的安全對策與用戶對于個人控制的需求相契合。并且，如果你受到信息安全審計時，這種方法，你可以向任何審計員解釋(雖然，根據我的個人經驗，一些審計人員不了解這種在風險緩解前，進行風險評估的方法)。

這些風險是因為在確保移動設備安全上做的不夠，但是也有風險是因為做的太多。使用這種基于風險的方法，一直幫助我找到正確的平衡。