文档更新时间：2012年2月20日

原文链接：http://www.cisco.com/en/US/docs/solutions/Enterprise/Borderless_Networks/Unified_Access/byodwp.html

 

IT组织面临的挑战

采用BYOD将给IT组织带来一系列挑战。许多BYOD的益处，比如任何设备在任何地方随时随地的访问，这与传统的IT安全和支持的要求有点背道而驰。

 

提供设备的选择和支持

传统上，IT预先决定批准工作场所使用的设备列表，通常是一个标准化的桌面电脑，笔记本电脑，甚至小到移动电话和智能手机。员工可以在这些设备中选择，但一般不能偏离经批准的设备清单。

 

随着BYOD的普及，IT必须以不同的方式处理这个问题。设备的发展如此迅速，预先核准的每一个设备的品牌和形式因素是不切实际的。对于IT组织为员工可能会带来职场的每一个设备都提供相同级别的支持也有些不切实际。

 

因此，大多数IT组织不得不在宏观层面上建立策略，什么类型的设备将允许访问网络，由于不可接受的安全或其他因素，也许不包括某些类别或品牌的设备。支持还必须考虑设备采用更多的IT辅助支持和自我支持的型号。

 

维护企业网络的安全访问

设备的选择并不意味着牺牲安全性。必须建立最低安全基​​准，在企业网络上使用的任何设备必须满足。这包括WiFi安全，VPN接入或者附加软件以防止恶意软件。

 

此外，由于广泛的设备类型，关键是能够识别每个连接到网络的设备并同时验证该设备和使用它的人。

 

新设备报道

大多数BYOD的实现将涉及范围广泛的设备，包括台式电脑，笔记本电脑，上网本，智能手机，平板电脑，电子阅读器，以及类似思科Cius的协作设备。其中一些可能是企业所拥有和管理，而其他的设备可能是雇员自己购买的并自助支持。

 

新设备报道 - 即将新设备第一次连接到网络时，应该是简单的，理想的方式是自助服务，只需最小化的IT人员干预，特别针对雇员自己购买的设备。IT也需要推动注册设备更新的能力。

 

理想的新设备报道应该是客户端无关的，这意味着无需预装任何软件。这有一个额外的好处：如果成功实施设备报道的自助服务，它可以很容易地扩展到为访客提供访问。

 

实施公司的设备使用政策

用户业务需要遵循广泛的政策，取决于其所在行业及其法规和公司自己的明确的政策。采用BYOD必须提供一种方式来执行政策，这对于消费类电子设备，如平板电脑和智能手机将更具挑战性。

 

在同一设备上混合个人和工作任务要面对另一个复杂的结果。智能手机有可能用于商业和个人的电话，其上亦安装了个人和商务应用。例如访问互联网，对等文件共享这些应用，在用户个人的时间访问企业网络与当他们在工作时间内访问企业网络时可能会采取不同的政策。

 

设备在网络上的能见度

传统上企业雇员有一个单一的桌面电脑或笔记本电脑，还可能使用IP桌面电话。如果雇员呼叫IT获取支持，IT直接在网络上就可找到该用户的设备并解决问题。

 

随着BYOD普及，每个员工都可能有三四个或多个设备同时连接到网络。许多设备具有多种连接模式，能够连接有线以太网、WiFi和3G/4G移动网络，并在会议期间移动在这些不同的连接模式之间。我们关键是要为IT提供对企业网络上所有设备具备可视性的工具。

 

数据保护和防损

任何BYOD实施的最大的挑战之一是确保企业数据的安全。如果一个企业的资产用来访问业务应用程序和数据，如笔记本电脑，通常该资产被IT紧紧地控制并可能应用更严格的使用政策。

 

有些行业需要遵守保密规定，如HIPAA，有些行业需要遵守安全性规定，如PCI，或者遵循更一般的安全法规，比如Sarbanes-Oxley和其他法规。企业需要在实施BYOD时遵守相关法规，这比企业自有设备的管理更具挑战性。

 

雇员自有的平板电脑或智能手机可能被经常用于个人接入和业务应用。基于云的文件共享和存储服务可方便个人访问数据，但也是企业机密数据泄漏的潜在来源。

 

IT必须制定一个保护业务数据的策略，无论是企业拥有管理或员工自有管理的设备。这个策略可能包括在设备上建立严格控制的业务分区来保存业务数据，也可能包括采用虚拟桌面基础架构（VDI）的应用来访问敏感或机密数据，无需存储数据在本地。

 

取消访问

一些时候有些设备或雇员的生命周期终止，IT需要终止设备的访问。这可能是由于设备丢失或被盗，或者雇员终止雇佣关系，甚至雇员改变了在公司内部的角色。

 

IT需要能够迅速撤销授予任何设备的权限和远程擦除设备上的数据和应用。

 

潜在的新的攻击载体

因为访问企业网络的设备具有广泛的功能，IT可能无法全面评估并批准每一个设备，企业网络需要面临潜在的新的安全攻击。

 

例如，许多平板电脑有能力建立临时自组网（ad-hoc）无线网络。如果一台经过身份验证设备和其他设备临时自组网，它可能会使得非认证的设备和用户连接到企业网络进行访问。同样，智能手机通过蓝牙连接笔记本电脑也存在上述问题。

 

IT所面临的挑战是如何允许越来越多的设备连接并使用，同时仍需保持控制和策略执行，例如自动在授权的连接设备上禁用临时自组网功能。

 

确保无线局域网的性能和可靠性

现在，无线接入变得无孔不入，用户对性能和可靠性的期望和有线网络相当，包括可靠的连接，吞吐量，应用响应时间以及越来越多的语音，视频和其它实时协作应用。

 

这种根本性转变的要求IT改变企业无线局域网的服务水平，使其成为一个支持关键任务业务的网络，类似于有线网络。无线局域网的设计和操作必须包括高可用性，性能监控和干扰缓解，以及无缝漫游。

 

管理不断增加的连接设备

作为最传统的IP地址规划，都是根据假设更少的设备连接来指定的，而不断增长的设备连接，每个雇员拥有的众多设备同时连接网络的数量越来越多，这将导致IP地址匮乏。这可能会加快IPv6的部署，无论是在互联网的边缘还是在企业内部网络。

 

最终用户面临的挑战

BYOD需求主要是由用户推动，他们想要选择他们在工作场所使用的设备。从用户的角度来看，也面临一系列挑战需要解决。

 

保持简单连接

BYOD解决方案和技术正在迅速发展，但面临的最大挑战之一是如何使人们简单的连接和使用企业资源。支持设备的数量，连接类型和位置范围，缺乏广泛采用的方法，这些都是用户面临的困难。

 

每个设备的品牌和配置可能需要略有不同的注册和连接步骤。用户如何连接和在哪里连接对于安全防范措施和步骤也可能有所不同。例如，连接企业的无线可能需要用户身份凭据，而通过一个公共的WiFi热点连接可能不仅需要用户身份凭据， 还需要使用虚拟专用网（VPN）以及其他安全步骤。

 

最终，任何的BYOD解决方案需要尽可能保持简单，无论用户身在何处，为其提供一个一致的使用体验，并尽可能跨设备提供类似的使用体验。

 

个人设备与工作设备混用

BYOD使得个人和工作任务在同一设备上混合。联系人名单，电子邮件，数据文件，应用程序和访问互联网可能面临挑战。理想的情况下，用户希望他们的个人资料和活动与工作分开。 在个人时间访问个人照片，短信，电话，上网浏览需要个人隐私保护，而工作时间内完成的文件，档案，使用企业数据的应用程序和互联网浏览需要符合企业政策。

 

一些雇主让使用自有设备的雇员签署一项协议，同意公司能够监测其遵守法规政策的情况，否则将采取行动以保护企业的数据。在某些情况下，这些行动可能包括远程擦除设备上的所有数据，也包括个人资料，这显然会成为IT和用户之间对于是否正确的管理产生争论。

 

生产力和经验需求

如前所述，BYOD的主要驱动力之一是员工要在工作场所使用他们自己的消费级生产力工具。 而公司想要顺应这一趋势并从中受益，但是还需要采用适当的安全政策，以保护企业的数据。

 

但是如果安全措施太冒昧，他们会抵消任何生产力。例如，一个常见的​​抱怨是，公司通过锁定一个平板设备上部署VDI客户端限制访问业务应用和数据，这降低了没有使用过平板电脑的雇用户的最终体验。随着平板电脑和智能手机的部署继续增长，VDI客户端也将持续增长，包括用户体验的要求也在提高。

 

采用BYOD的注意事项

对于任何期望广泛采用BYOD的企业，也有一些事情需要提前考虑。

 

了解用户群和需求

对于任何BYOD实施，重要的是要理解有哪些不同的用户群。一个建议是在公司内部进行用户细分分析，以帮助了解需求和必要的支持程度。图4显示了一个例子。

 

图4 用户群和需求

 

 

每家公司面临的情况都是不同的。图4评估了雇员的角色对移动性和移动应用的需求和可能必要的支持水平。当用户只需要低层次的IT技术支持时BYOD部署是容易的，只要使用自助服务并分享最佳实践即可。用户（例如高管）具有高移动性的需求时，部署可能会更加困难，同时也需要高水平的技术支持。

 

进行这样的分析将有助于了解用户政策和支持的设备类型，并防止可能的部署挫折和IT预算的成本超支。

 

决定BYOD策略

不同的企业业务和部署场景对于BYOD的期望不同。每一个企业都需要一个的BYOD战略，即使其用意是禁止所有其它设备，除非是IT批准和管理的设备。图5显示了可能的部署的场景，适合大多数企业。

 

图5 采用BYOD的场景

 

对于高程度法规约束的行业，如金融或安全政府机构，需要通过采取限制性的做法来部署BYOD以保护敏感数据。设备需要采取传统的IT方法进行严格控制和管理，这种方式在这些情况下仍然有效。

 

对于许多公司来说，部署BYOD将在允许的范围内接入更广泛的设备，同时对于应用访问制定一套严格的策略。他们鼓励广泛采用许多或所有设备类型，部署安全的措施保障企业应用程序和数据集的访问。从广义上讲，这些企业将采取“移动性第一”的战略，优先开发平板电脑和智能手机上的内部应用程序，通过利用最广泛的生产力工具和设备来寻求竞争优势。

 

了解你的业务在现在和将来的可能适用部署场景是非常有用的，这可以为安全政策的制定做准备，并作为BYOD总体战略的序曲。

 

了解应用的本机，浏览器和虚拟模式

安全和防止企业数据丢失是实施BYOD时最应关心的问题。重要的是要了解三种可能的应用架构并进行权衡，三种架构包括：本机，浏览器和虚拟，如图6所示。

 

图6 本机、浏览器和和虚拟模式

 

对于本机模式，在设备上运行的应用程序直接与在数据中心（或云）的应用服务器主机通信。数据可能会直接交换和存储在BYOD设备上。通常情况下的应用性能和用户体验与特定设备密切相关；换句话说，业务应用程序的功能，和任何其他设备上的应用程序相似。所有的生产效益和设备的行为受到保护，应用程序可定制化以提供增强的使用体验。

 

由于跨越设备和操作系统的易用性，浏览器方式正越来越多地被采用。从本质上讲，任何一个标准的HTML浏览器都能于访问应用程序。其缺点类似本机模式，数据可以交换和直接存储在BYOD设备，这导致安全挑战并担心数据丢失。此外，有可能会牺牲一些用户体验。

 

相反，在虚拟模式下的应用程序存在于数据中心（或云）的应用服务器上，并通过VDI的客户端设备为代表。数据不存储在本地的BYOD设备上。只需在BYOD设备上呈现信息交换。虽然这种方法提供了最大的数据安全，用户体验可能需要作出妥协，因为该模式需要将应用程序服务器转化到不同形式及本地OS的BYOD设备上。初次尝试这种方法可能会获得负面反馈。

 

重要的是要根据应用程序的架构作出决定，究竟采用何种模式。许多公司可能会使用一种混合的方法，对于许多标准的业务应用程序采用本级模式，对于保密或敏感数据要求严格的应用程序采用虚拟模式。

 

广泛的最终用户协议

虽然不属于网络架构的一部分，但是有一个问题必须在任何BYOD实施前经过深思熟虑，那就是最终用户协议（EUA）。由于混合个人和企业数据并潜在的使用雇员自有设备进行工作，关键问题是需要在实施前就明确使用政策，并确保与员工事先沟通这些政策。

 

IT组织需要熟悉法律，包括“计算机欺诈和滥用法”，“窃听法”，和通信协助法律实施法案（CALEA）。

 

公司的政策将是什么？通信是否受到监管？政策适用于企业和个人？要解决的领域包括（但不仅限于）：

•短信

•语音通话

•上网浏览

•即时消息

•电子邮件

•GPS和地理位置信息

•购买/安装的应用程序

•存储的照片和视频

•设备“擦除”

 

作为一个简单的例子，许多企业定期进行过滤和监控因特网接入，以确保政策的遵守，防止员工在工作中访问不适当的网站。大部分BYOD设备直接通过公共WiFi和/或3G/4G移动网络接入互联网。通用的策略是禁止通过连接在企业网络上的设备浏览X级网站。如果是雇员在个人时间通过公共互联网接入并使用自有设备浏览这些网站，那么同样的政策是否适用？

 

作为另一个例子，通常企业不允许利用企业设备或企业网络来发送包含个人照片等不适当的内容的电子邮件或短信。相同的政策将适用于个人的电子邮件或个人自有设备上的短信吗？ 哪些通讯将被监控？ 哪些不会呢？

 

最近已经有一些法律上的挑战，案件涉及雇主远程“擦除”雇员自有设备上的企业和个人数据。试想一下，作为雇员使用新的平板电脑访问企业网络时，你在不知不觉中同意让IT删除您最喜爱的家庭照片是什么感受。其他的挑战是潜在的非法窃听的情况，案件涉及员工的文本消息对话被他们的公司非法监视而没有通知他们。

 

避免潜在法律责任，关键是通知，通知，并再次通知。要明确的为员工准备一份书面政策，他们必须接受公司将如何对待企业和个人的BYOD设备上的数据和通信。同意该EUA，雇员可以清楚的知悉自有设备接入网络将获得什么样的权利并丧失哪些东西。

 

制定丢失或被盗的设备策略

类似前面的讨论中完整的EUA，企业应该制定如何处理丢失或被盗设备的计划。通知员工的流程是什么？什么是必要步骤以取消这些设备对企业网络的访问？采取哪些步骤远程删除存储在设备上的数据？

 

在市场上存在多种不同的解决方案，提供不同程度的能力，可以接触到远程设备并破坏其上的数据或应用程序以确保它们保持机密。考虑BYOD设备上存储的数据安全，将其融入总体灾备计划是部署BYOD前需要考虑的一项战略。