本帖最后由 Jay 于 2023-10-31 17:55 编辑
相较于台式电脑网络办公，手机和笔记本移动办公面临的安全威胁更为复杂多样，便利高效与保密安全始终是一对矛盾。站在保密安全的角度，不提倡移动办公，对移动办公设备要加强管控和保密审计，主要基于以下考虑：一、安全风险不可控移动办公无论是在管理方面还是技术监管方面都存在较为明显的隐患漏洞。1、物理环境安全不可控。由于移动性，移动办公设备所处的办公环境、使用的信息通信网络、电磁环境、应用软件、相关存储介质等都不可控，存在被事先设计、即时入侵、信号窃听、木马渗透和掉换盗取等风险。例如：笔记本被盗用，手机Root权限被破解，连接的WiFi网络被窃听、键盘鼠标显示器信息被电磁还原等。
2、传输通道安全不可控。目前，移动办公终端可分为瘦终端和普通终端，瘦终端本身不处理、存储任何信息，只是通过远程连接或者VPN网络通道向服务器发送处理指令，安全性较好；普通终端本身处理、存储信息，还与远程服务器连接，安全性差一些。两类移动办公终端都存在传输通道安全问题，受限于终端性能和功耗等因素，移动办公终端所采取加密算法较弱，传输通道安全难以得到良好保证。3、存储节点安全不可控。移动办公终端和远程服务器之间往往有着多个存储节点，天然存在信息泄露的风险。一般地，信息从移动办公终端传输到远程服务器，大体上经过应用软件缓存、本地备份、应用后台服务器、传输通道网关、传输通道经过的各个节点、远程服务器。这些经过的路径都可能成为信息存储节点，扩大信息存储介质范围。
二、保密安全技术较滞后
大体上保密安全技术有两条底线：一是物理安全，二是密码安全。无论多么复杂的保密安全技术措施归根结底就是这两条底线。综上所述，移动办公在这两条底线方面都存在短板弱项，即使采取专有设计的移动办公终端，依然无法解决终端被盗、屏幕被翻拍、加之无法与移动网络线路做物理隔离，无法从根本上确保传输安全，可以说移动办公的保密安全是个伪命题。 要在一定程度上实现保密安全的移动办公目标，应当在物理安全和密码安全方面改进保密安全技术措施。 1、重视移动终端本身安全和所处环境安全。移动终端上的信息应当加密存储，并且支持强力删除，类似于自毁程序，从而确保信息保密安全。应当采取专业检测设备对移动办公环境进行检测。
2、管控移动终端保密安全风险。移动终端远程连接的服务器应当独立设置，严禁与任何网络连接，防止移动终端成为侵入网络的入口跳板。对移动办公终端和其远程连接的服务器进行保密安全审查，及时发现潜在保密安全风险。 3、采取动态密码和二次验证密码。从保密实践看，密码往往是信息安全的最后一道防线，应当强制动态生成，并做二次动态验证，避免人为因素降低密码安全。 | 
私信
