重庆烟草行业制订的信息行业“十二五”规划提出了以建设“智慧渝烟”为目标，以利用新技术为手段，以构建应用平台为支撑，以三大系统建设和信息资源利用为重点，统筹规划、系统设计、整体推进，不断提升重庆烟草信息化水平，为重庆烟草实现“卷烟上水平，对标升位次”发挥支撑作用的信息化发展总体思路。作为“智慧渝烟”应用平台在移动终端的上的子系统(图1)，重庆烟草移动云平台将于年内正式上线运行。
图1 移动云平台
要实现重庆烟草由企业信息化向信息化企业的转变，移动信息化势在必行，同时也意味为着行业信息化应用巨大的改变，能够在移动过程中通过平板电脑和智能手机访问电子邮件、应用和数据，员工将更加满意，工作起来也会更加高效。尽管移动设备带来了效率的提高，但也给企业带来了新的安全问题，若处理不当，移动设备的安全漏洞会给企业带来重大损失。由中央防火墙保护的仅限于PC网络的安全概念已经显得落后，游离于保护之外的移动终端上的敏感数据泄漏和安全风险随时可能发生；移动设备还会感染上病毒和恶意软件，这样就会将其散播到公司的网络中；移动设备很容易丢失或被盗，直接威胁到存储和访问过的数据。本文试图通过对移动云平台的使用管理策略和技术策略两个方面论述如果在移动信息化过程中最大限度确保行业的信息安全。
一、移动云平台现状简介
重庆烟草移动云平台是重庆烟草“智慧渝烟”应用平台在移动终端上的子系统(图1)。按照《重庆烟草行业“十二五”信息化总体规划》的部署坚持“智能化”、“一体化”“平台+应用”的技术路线，“智慧渝烟”应用平台并于2012年正式上线，初步实现了“系统集成、资源整合、信息分享”的目标。移动云平台是坚持平台+组件的技术理念，遵从智慧渝烟应用平台一体化设计，将智慧渝烟从PC 端B/S应用向移动终端应用延展而来的移动APP，能够满足领导和员工的移动办公需求，带动工作模式转变，进一步提高工作效率。
移动云平台采用云-管-端设计理念，基于智慧渝烟应用平台的云中心，构建移动管控平台，实现客户端五大应用。集成了移动OA、内网信息、数据看板、日程管理、企业邮箱、沟通协作、网盘、云笔记等功能(图2)。
图2 移动云平台设计理念
二、可能存在的信息安全隐患
从设计构架上看，因为有移动管控平台作为“云”和“终端”的中间管控“代理”，通过合理的策略设计可以拒绝和过滤大部分来自终端的非法请求和操作，即从“端”到“云”的攻击和不安全行为是较容易识别和防范的，“云”端的安全级别也应该是较高的。从终端管理上来看，使用移动云平台的设备采用了审批准入制度，将账号和设备绑定以及严禁移动终端“越狱”限制应用程序获得更好系统权限等方式确保信息安全。通过对以上两个方面的研究结合目前移动终端普遍面临的信息安全问题，找出移动云平台可能存在的信息安全隐患并通过管理或者技术的手段予以克服，是信息管理人员必须重视及认真对待的问题。在笔者看来，目前阶段的移动云平台可能存在以下几方面的信息安全隐患。
(一)终端软件环境不可控性带来潜在的数据泄密的风险
从移动云平台的构架上分析，通过云端以及管控平台到达终端的数据因为终端的不可控性带来数据泄密的可能性极大，但从平台目前支持的ios 和Android 两大主流操作系统本身的信息安全状况看，发生终端数据泄密的可能性相当高。
以Android 为例，就有研究人员发现Google Play 商店中有应用程序有错误的加密，防毒应用程序因为SSL 防护不足，黑客可以轻易下载恶意病毒凭证。目前，官方Google Play 商店有1.85 亿供使用者下载，这些使用者的网络银行资料、社交网站资料、电子邮件与即时讯息内容都暴露在危险中。另有研究人员从Google Play 市场中下载了13500 项免费应用程序后透过静态均衡分析发现共41 项应用程序持续泄露敏感资讯，只要将手机连上WLAN，科学家就能轻松打破安全机制，因此所有网站与使用者间的凭证都受到影响。所谓官方的Google Play 尚且如此，更何况数以千记的其他第三方“黑市场”提供的应用程序下载。最近爆出的美国“棱镜”计划，揭示互联网的危险性，同时也证明美国IT 巨头并不可靠，当前市场上大约95% 移动智能终端使用的是IOS、Android、Windows Phone 操作系统，这些操作系统都掌握在美国巨型高科技企业手中，移动智能终端上的信息很可能会被非法窃取和监听。
如果说Android 是因为其高度开放的特性带来信息安全的隐患，那么ios 平台相对的封闭和苹果App Store 相对google play更严格的审查制度是否能带来更好的安全特性呢？据最新的研究表明，App Store 里的App 比Google Play 里的App 带有更大的隐私威胁！
据Appthority 最近于旧金山RSA 会议发布的最新研究结果显示，60%的ios App 会跟广告商和第三方分析网络分享数据，其中60%的ios App 会收集用户地理数据，54%的App 会收集用户联系人列表，14%的App 会抽取你的日程表信息。相对Android 来说，数据分别是42%、20%以及0%。而对于未加密数据，几乎100% 的iOSAPp 会发送未加密数据给广告方。当用户隐私这类最基本的数据都无法保护的时候，一款App 如果要获取终端上的其他数据用户也很难发现，特别是那些“越狱”或者是ROOT 过的可以安装非官方版本应用程序的终端设备更是如此。
由此可以想见当移动云平台开放BYOD(Bring Your Own Device)设备接入的时候，因大量的员工私人智能终端的接入而带来的终端上各类令人不安的应用程序引起的数据泄密隐患必须引起足够的重视。
(二)移动终端丢失导致的公司敏感数据的损失和非法的接入
移动设备丢失造成的硬件和软件的损失相比包含在里面的信息可能不值一提。如果通过移动云平台下载到终端的数据损失可能导致行业敏感信息的外泄和潜在的社会问题甚至拾到设备的人可以尝试非法接入移动云平台获取行业内网的数据。许多国家的政府都出台了相关规定规范公司的这种信息管理行为，可是目前我国尚未有类似的相关法律法规。
现在看来，如果某位员工的移动终端遗失，那么其设备上是否保存有行业相关信息? 这类信息是否会被拾到者轻松查看或者传播? 拾到者是否能够非法接入移动云平台? 这一系列问题必须通过安全管理手段予以解决。
(三)恶意软件或者病毒导致的工作效率的下降
近年来，随着智能终端设备的爆发式增长，以前只是电脑上运行的恶意软件和病毒早已把目标指向了智能终端设备。使用Wi-Fi和蓝牙连接，恶意软件可以通过点对点进行传播。病毒可以通过影响智能电话的整体文本能力和PIM 数据传播到其他手机上。移动软件还可以利用欺骗手段造成受害人金融损失，有时还会由于基于移动互联网的网络钓鱼事件造成个人机密信息的遗失，这也被称作移动网络钓鱼。
这些恶意软件和病毒要么旨在窃取用户数据或者骗取用户通讯费用，要么旨在传播扩散造成移动网络阻塞。因为其本质是大量占用系统资源和产生各种非法链接，必定会造成终端设备的性能下降和费用流失，也可能会因为大量非法连接请求造成移动云平台管控平台的性能下降和网络阻塞从而造成终端或者整个平台的工作效率下降。
(四)黑客事件导致的工作效率的下降
除了由恶意软件、垃圾邮件、病毒造成的威胁之外，移动设备还会成为黑客和DoS 攻击的对象，其借助的是移动操作系统的漏洞。例如，一种叫做“头颅”的恶意软件会使移动设备上的应用程序失灵。用户不能收发邮件和消息，日历功能也会停止，也不排除会有黑客利用现有移动操作系统的漏洞对通过云平台对行业内网发动网络攻击和入侵，毕竟在如今的移动互联网中黑客攻击已经是大规模泛滥了。
三、可供参考的解决思路
针对以上提到的各种安全隐患，要实现移动与平台的信息安全就需要信息化管理人员做好针对性的信息安全策划。安全是人、流程和技术三合一体的产物。要想实现最大程度的安全，这三方面的因素都需要考虑。为了防止移动终端和云平台及行业网络免于数据和效率的损失，可考虑采取如下措施。
(一)制定、完善使用移动设备的管理制度
首先，需要考虑使用移动设备时的法律和兼容性相关的问题，企业的制度必须和相关法律法规保持一致性，同时制度的执行不是被隔离的，应该包括各个部门的通力合作。
其次，随着员工拥有移动设备数量的激增和对移动办公的需求越来越高，越来越多的用户也开始使用BYOD 工作。为了控制安全风险，移动云平台需要就BYOD的使用设立一套清晰的规章，应该严格慎重地审批接入的设备，不管是谁使用移动设备，谁就是该设备信息安全的直接负责人，对接入的移动设备都要加以控制和备案。
最后，应该在规章制度中严格限制接入的终端设备“越狱”或者是“root”，因为取得高系统权限的设备能够安装的来源不确定的第三方应用的安全风险相对官方渠道获取的应用来说会高得多。
(二)需要强化用户和设备访问数据时的授权功能
针对设备丢失带来的非法使用问题，移动设备的数据需要防止未经授权的人士访问。密码保护是必须的，移动设备要设置开机密码确保用户不是非法的使用者。同时，需要一个好的移动安全解决方案确保管理人员建立和执行安全政策的连贯性。例如，管理人员要能够防范恶意的登录尝试:如5 次平台系统密码错误，要求重启设备，然后要求用户提供开机密码继续；要求用户再次输入平台密码；若仍旧连续5 次密码错误，则自动卸载移动云平台App，同时清除所有缓存数据，并在管控平台锁定该设备的ID 登陆权限，直至管理员解锁。为实现最大限度的保护，还可以使用特殊的软件删除数据防止数据被非法恢复，通过预设存储条件进行数据清除，即使在无线网络断开的时候管理人员也可以及时删除数据。
(三)使用数据加密和网络数据传输加密
为了防止设备丢失以及不安全软件造成的数据泄露，数据加密是保护数据最有效的方法。考虑加密的内容应该有内网信息、提供下载的文件、行业联系人信息、日程表，以及客户资料等。加密不仅仅应用于设备上的存储媒介，管理人员要根据文件的不同实施不同的加密，使用不同的加密算法。
加密的强度依赖于其所使用的加密算法。目前市面上有很多加密算法。加密算法分为两种类型——密钥和公钥算法。密钥算法提供了机密，而公钥算法提供机密和授权。使用最广泛的密钥算法是AES(高级加密标准)和3DES(三重数据加密标准)。但是，越高的加密意味着更高的能源消耗，需要设计人员可以在安全要求和系统性能之间寻找到平衡点。同时应准备两套系统数据加密方案，在发生加密被破解的情况下实现快速替换以减少损失。综合的解决方案不仅包括满足适当标准和认证的加密，提供加密算法和密钥长度的弹性，还要能够安全的使用密钥管理访问数据，同时如果脱离移动云平台，即使数据已经被下载到终端设备，通过其他软件仍然是不能查看这些文件的。这套方案可以集成在云平台的移动管控平台中，并可以被不断改进和修正。
即使设备上的数据经过加密，数据在移动互联网传输过程中同样也需要加密。通过加密传输中的数据，防止数据在从设备到服务器的传输过程中被黑客截获。例如，SSL(加密套接字协议层)协议可以保证数据在传输过程中的安全。SSL以其简洁实用深受欢迎，同时SSL不需要在设备上安装额外的软件。
(四)在终端设备上必须安装安全软件或者杀毒软件
行业在保护台式机和笔记本安全的时候做得足够到位。但一旦开放BYOD 的接入则使得移动终端游离于保护之外，当他们与行业网络连接的时候，就有可能感染行业网络系统。为了给移动设备提供台式机和笔记本同等程度的保护，移动设备上也需要安装杀毒软件防止病毒感染。同时移动数据应该实时扫描。这不仅仅包括移动设备上的数据，还有外部存储卡上的数据，还要能够扫描特定的文件类型和ZIP、CAB 等压缩文件和APK 等应用安装程序。如果有条件，行业甚至可以和国内知名安全软件厂商合作，定制符合移动云平台的安全软件并集成在App 中，若无法实现则应该通过管理手段强制要求接入设备安装安全软件以降低风险。
(五)在管控端部署防火墙和入侵检测系统(IDS)
面对有可能发生的黑客入侵和网络攻击，目前最好的办法依然是在管控平台部署防火墙和入侵检测系统(IDS)。一旦激活，防火墙就会限制流量类型和源流量，对阻止端口进行扫描是必须的，因为黑客通常利用端口扫描找出漏洞。企业中使用的防火墙和IDS 可以根据需要由管理员设置。通过管控平台，管理人员可以过滤特定IP 地址，端口或是协议的的流量。IDS 在移动设备上的部署可以通过确定网络流量的类型阻止DoS 之类的网络攻击。
(六)提高用户的安全意识，加强安全培训
提高安全保护主要考虑到人的因素，流程还有技术因素，还有对于移动设备造成的网络威胁的综合性培训。用户需要具备辨别不安全的应用以及了解一些针对设备的潜在的威胁，同时还应具备使用移动安全软件的能力。
系统用户培训的建议：不要从非信任的渠道下载应用程序；不要与陌生人共享应用程序；在不使用的时候关闭蓝牙、wifi 以及数据连接功能；备份以及必要时删除设备上的文件数据；及时更新设备上的软件(操作系统、安全软件等等)。
四、结束语
本文从系统构架以及管理思路上分析了重庆烟草移动云平台信息安全所面临的需要引起重视的问题，同时根据自己的理解提出了一些解决方案，希望能够为行业信息安全建设建言献策，同时也希望能够与同行进行交流共同提高，确保重庆烟草行业信息化建设持续健康发展。
核心关注：拓步ERP系统平台是覆盖了众多的业务领域、行业应用，蕴涵了丰富的ERP管理思想，集成了ERP软件业务管理理念，功能涉及供应链、成本、制造、CRM、HR等众多业务领域的管理，全面涵盖了企业关注ERP管理系统的核心领域，是众多中小企业信息化建设首选的ERP管理软件信赖品牌。
转载请注明出处：拓步ERP资讯网http://www.toberp.com/
本文标题：论移动云平台的信息安全管理
本文网址：http://www.toberp.com/html/consultation/10839513010.html
相关文章
