【2012年11月8日 51CTO外电头条】您企业中的CIO（或者您自己）如何看待iPad、iPhone以及Android设备随个人用户大量涌入企业部门及办公环境的呢？
- 这是由欠缺IT技能的普通员工所引发的违规事件，不仅会拉高运营成本、更可能给企业业务带来安全性与合规性的双重威胁。我们必须马上阻止或者遏制这种趋势的蔓延。
- 这是一种违规事件，但却反映出企业IT部门在服务供应及技术支持方面的疏漏、或是由于监管追踪不力而产生的意外趋势。
- 这是一种积极的态势，只要合理调控，IT部门完全能够以此为契机给用户、IT团队及企业整体带来显著的收益。
如果大家选择了第一项答案，我们要很遗憾地指出，您的CIO可能并不是引导IT部门发展的正确人选。最佳答案无疑是第三项，而第二项虽不完美、却也具有一定指导性。也就是说CIO必须开始自己的现有管理框架，并迎合由客观现状带来的不可逆转的业务流程变化。遗憾的是，我们发现大多数企业的管理者仍然坚持选择第一项。
为什么很多CIO视自带设备办公为洪水猛兽、甚至摆出一副避之惟恐不速的架势？原因很简单，BYOD一口气把太多当下企业所面临的技术问题包揽于一身，这怎能不引发IT管理者的恐慌。InfoWorld网站的Eric Knorr对此曾对此给出过十分精妙的定义：这是一种由用户导向而且IT部门应当支持的业务提升方案，我对此当然深表赞同。InfoWorld网站的Bob Lewis同样解释过，过去占据主流的数据流程型IT模式如今已经无法继续全面掌控企业运营走向——我再次表示赞同。
这里我要向大家解释为什么第一项答案是如此荒谬、如此不能接受。首先要感谢研究企业Aberdeen集团提供的一系列调查成果，多项数据已经证实所谓“拉升运营成本”一说根本是无稽之谈，因为BYOD的出现同时能够带来可观的经济成本节约（有时节约的款项甚至高于技术投入）；更重要的是，对于那些那些专注于风险控制及合规性审核的CIO们而言，具备前瞻性的BYOD策略完全能够满足安全性与合规性需要。另外一提，我所指的BYOD不仅包括“自带设备”概念，也涵盖了“自选设备（CYOD）”状况，因为很多企业出于法律需要而希望拥有设备所有权。不管是哪种方式，结果都是由用户主导的多样性所左右。
“各顶级企业都会找到一套既能控制成本、又能规避风险的理想方案，”Aberdeen集团移动技术分析师Andrew Borg表示。他同时解释称，这意味着方管需要以政策为基础实施监控、并且充分利用IT服务管理（简称ITSM）原则，对于任何规模的任何企业都应当遵循上述标准。不过大多数企业无法处于行业生物链的顶端，他们只能依赖于那些效率较低、面向终端、投资巨大且一切需要围绕IT部门进行的管理方案。
除此之外，移动技术多样性趋势也带来了“IT部门的角色转变，技术人员从过去对一切说不的老顽固转化为如今积极接受新鲜业务流程的进取者，”他指出——是时候让IT部门从“自己的狗窝里滚出来”，认清时代赋予他们的新使命。Borg同时表示，2011年的Aberdeen集团调查报告已经把移动性视为企业策略中最重要的因素之一。事实上，超过一半的企业已经意识到，移动技术的介入能够大幅提高员工生产力。
因此，用户必须获取自己想要或者需要的工具（具体是想要还是需要并不重要，许多保守派CIO喜欢拿这两个词做文章，但在历史潮流中玩这种文字游戏实在没啥必要）、企业拥有额外的业务灵活性及执行功能，而IT部门则能在游刃有余的工作状态下严格控制技术安全与合规性要求。
移动安全目标并非难于登天——通常情况下是这样
几乎在任何一家企业中，用户都会把iPhone、iPad以及其它一些移动设备带入工作环境——而且完全无视企业制定的管理标准。尽管IT团队强烈反对，但某些部门仍然会为这种“影子IT”体系划拨预算，而且大多数员工只是想把自己的设备当作业务工具之外的小小辅助使用。
根据Aberdeen的调查报告：
- 如今企业所支持的平均移动平台数量已经达到2.9——可以看出，大多数商务领域已经不再是黑莓一家独大的局面。
- 目前，62%的受访企业已经部署了黑莓设备支持体系，43%完成了iOS体系、30%搭建了Android体系、24%筹备Windows Mobile体系、13%采用塞班体系、另有13%选择Windows Phone体系。
- 目前，80%的受访企业允许员工使用黑莓设备（无论黑莓是否具备官方支持）、77%的受访者支持iOS、61%支持Android、46%支持Windows Mobile、33%支持塞班，Windows Phone再次垫底，获得31%的支持率。
底线在于，BYOD（尤其是由此带来的移动设备多样性现状）大举袭来，我们无论欢迎还是反对都不能影响其分毫。如果大家打算接纳未经审核的BYOD体系，保守派CIO往往会跳出来大谈这类设备的安全风险以及全面禁用的必要性。至于什么样的企业才会遇上内部争论的麻烦事？经验告诉我们，一般正在使用RIM公司黑莓企业服务器（简称BES）产品的企业最容易爆发上述冲突——毕竟与黑莓比起来，其它主流设备平台的安全性仍然有待商榷。
不过对于大多数安全需求来说，移动设备管理（简称MDM）工具已经能够为iOS系统提供理想的保护措施了——这要感谢苹果公司提供的本机MDM API。某些Android设备也拥有这类API，但需要用户单独安装客户端应用。如果大家对于安全性要求极高，同时使用微软Exchange或者Exchange ActiveSync（简称EAS）兼容邮件服务器，那么iOS及某些Android设备的安全性及合规性需求将不再是问题（服务器会自动拒绝任何非兼容设备的访问请求）——而无需费心打理任何第三方MDM工具。
颇具讽刺意味的是，“消极抗拒”型方案反而会令数据泄露、数据丢失以及合规性破坏等情况出现的可能性提高。根据Aberdeen公司的调查报告，只有26%的“落后”企业（企业受访者占本次调查对象的30%）仍然采用集中方式单独管理移动设备，而事实上这已经是大多数MDM工具的基本功能且非常容易部署。相反，他们往往对成熟工具无动于衷或者利用台式机的支持方式管理个别员工的移动设备。结果：67%的“落后”企业没有及时寻回或注销丢失或被盗的设备——这在无形中带来了巨大的资源浪费。相比之下，只占3.4%的业界顶级企业却拥有高达88%的员工移动设备管理率。而另外4.9%的一般企业（占企业受访者的50%）则拥有44%的员工移动设备管理率。
更令人意外的是，企业中所使用的平板设备有99%都是iPad——这是由于苹果产品对于远程数据清除功能的良好支持。但大家别忘了，远程数据清除可以说是任何一款MDM工具的基本功能，就连Exchange本身都能为任何iOS及Android平板提供同样效果的远程清除服务。看到这里，相信大家也意识到大多数企业在处理移动设备管理工作时是多么懒散、多么得过且过。IT部门应当为任何有能力访问企业邮件的设备进行登记与审核，并以自动化手段加以控制。“大多数人以为有了远程数据清除就万事大吉了，iPad管理工作绝不能比iPhone管理更松懈——但遗憾的是目前事实却正是如此，”Borg指出。而且问题就在这里：IT管理方案要么选择直接无视、要么强迫员工遵循复杂烦人的规范条文——正是这种非黑即白的极端态度令许多iPad只能躲藏在企业环境的暗处。
聊了这么多细节，咱们再看看宏观形势：在过去一年中，移动安全已经成为威胁企业利益的头号危险分子。
如果我们明令禁止员工使用移动设备访问业务资源，毫无疑问，他们只会跟大家玩躲猫猫。举例来说，员工会在管理者眼皮底下使用“安全”设备——比如台式机客户端——访问Gmail或者Hotmail账户。但只要我们转过身，他们立刻会在暗处使用个人手机或平板做同样的事情。如此一来，潜在威胁不仅没有消除、反倒被我们的简单粗暴而钓出来了。这不是假设，而是铁打的事实，诸位醒醒吧，别再抱有任何幻想了。
Aberdeen公司的Borg指出，IT部门实际上把握着一项他们很少使用的管理利器，即邮件访问。技术人员完全可以从企业邮件访问体系着手，明确告诉每位同事：“如果还想收发邮件，那最好按管理政策来。”这一招真的很有效，因为没有邮件系统的支持、任何员工都没法正常工作。不过我们也不能完全寄希望于说教，总有些手欠的家伙会使用未经审核的设备访问邮件及日程表——也就是说他们要经过企业邮件服务器。既然他们不听话，管理者就得把政策部署到服务器端——验证访问设备是否经过加密及密码保护，而且一旦登录尝试次数过多，目标设备中的数据将被自动清除。换句话来说，让员工按企业定好的访问方式来，否则就等着设备变砖头吧。
由于这类保护技术以管理政策为基础，所以我们不必了解用户使用的是哪种机型、也无需亲手进行配置——服务器会根据规则验证合规性及操作合法性。终端什么的从此不再重要，把好数据进出的关口就能掌控一切。有些设备需要安装特定应用才能实现政策合规性功能，这也不用怕：在企业内网中创建页面，放上必要客户端的链接即可。哦，另外也别忘了把建议安装的机型写在下面，免得员工光顾着看热闹、没意识到自己也需要装一下。
备注：这也是我们需要通过VPN访问敏感数据、在无线网络环境中使用虚拟LAN对敏感流量与个人流量加以隔离的原因。另外提醒大家，如果您的企业允许资源远程访问，那么以上两种保护机制必不可少。
某些CIO喜欢对移动设备的合规性威胁进行妖魔化，他们认为只有具备了HIPAA、萨班斯法案、HICAP、PCI以及其它一切可供参考的规则作为支持，企业才能真正放心对移动技术敞开怀抱。这当然有点反应过度了。在MDM工具的帮助下，“黑莓及iOS等多种设备环境都能够顺利通过合规性测试的考验，”Borg表示。
但这又暴露出一个大问题：Android。这款系统平台在人气方面甚至盖过了iPhone，同样令人头痛的还有Windows Phone 7，其安全性同样薄弱得教人忧心。好在微软家族在移动市场份额方面地位低微，因此从当前的情况看还不会对用户造成太多困扰。Borg告诉我们，即使Android系统拥有理想的管理机制，目前也只有少数几款Android设备能够满足企业级商务工作的需要——也就是三星平板与赛贝斯公司的Afaria组合方案。新的Android 4系列操作系统具备对EAS的全面支持（搭载Android 3系列系统的平板也能做到这一点），这使其安全可靠性直逼iOS阵营的智能手机与平板设备。另外，摩托罗拉移动公司及三星针对商务领域推出的高端手机产品线也已经拥有良好的安全保障。因此与Android产品刚刚出现的前几年相比，如今Exchange服务商与MDM供应商都已经能在谷歌的这套开源系统平台上进一步施展拳脚、抓住机遇。
因此，企业CIO及管理政策都应该为这些符合规定的设备敞开大门，将其纳入业务环境。只要IT部门所设定的合规性要求足够合理，员工就不妨调整心态、尽量遵循。管理者还必须针对不同情况制定出不同级别的合规性条款，这样那些不会接触或是访问敏感信息的员工才能放开手脚、摆脱束缚，真正让移动设备成为改善生产力的利器。
至于那些已经在财政及员工信息等敏感领域引入移动设备的企业，更需要将分层访问策略尽早纳入管理政策。举例来说，我们可以允许任何设备利用公共虚拟LAN来访问互联网，但只有那些能够支持内部加密、远程数据清除以及密码保护的设备才有权限访问企业邮件及内部共享文件。另外，只有那些支持VPN以及身份验证的设备才能访问只允许在企业内部网络中流通的敏感数据。
底线：在合理的设备使用权限方案中，用户应当允许IT部门利用政策对其设备加以管理。许多企业会要求员工明确表态支持管理政策、另一些则只是将政策制定并发布出去，还有些企业则更加保守、强调企业对设备的所有权、员工则只有机型选择权——具体做法要看人力资源或法律部门的决定，这属于CIO管辖之外的工作。我得强调，CIO要做的仅仅是保证政策能够在技术层面上得到彻底执行。
当然，总有些不按规矩来的用户，他们会以各种方式在未经审核的设备上处理业务邮件。举例来说，用户会将数据保存在家里的个人电脑上，这就需要管理者加强控制力度。“企业业务环境越来越容易被渗透，所以我们必须具备更为宏观的监督视角，”Borg表示——而不仅仅是把眼睛盯在特定终端设备身上。“大家需要将注意力从终端转移到核心，”他补充道。
而在安全应用方面——一般是指设备问题解决后出现的应用程序困扰——目前已经有多种工具能够满足此类需求。头一个问题就是，用户所安装的游戏或者使用的业务应用会不会对安全工具的效果产生影响——这就完全靠运气了，毕竟应用之间的影响很难说清。再次强调，理想的方案要能够把管理政策与包含潜在网络及其它直接管理需求（例如合规许可及访问监控）的应用程序完美接驳起来。iOS与黑莓OS所提供的沙箱隔离机制就大幅降低了恶意软件出现的可能性，但Android设备在这方面再一次显得力不从心——所以建议各位企业管理者只允许那些远离敏感数据的员工使用Android设备。
移动成本不会由于BYOD的普及而明显提升
一旦安全问题不再是问题，保守派CIO们往往会立即拉起成本的大旗，继续顽强对抗BYOD这股历史大潮。在他们眼中，由于大量移动设备涌入企业环境，IT部门的技术支持预算也势必水涨船高——技术团队还不得不专门为此组织员工培训、教他们如何安全合理地使用私有设备，这么大的虚耗实在太过败家。另外，内部网络在容量及性能方面也需要大幅扩展，至少传输带宽与DHCP服务器要使用的IP地址必然得到显著增加。毕竟移动设备一来，Wi-Fi体系及内部服务器所要处理的访问量瞬间提升了三、四倍。再有，移动数据服务还会带来大量额外支出，花钱的事可千万马虎不得。
但我得说，这完全是一派胡言！既然保守派拿出三条理由，咱们就一一进行反驳。
首先，根据Aberdeen公司的调查报告，目前世界顶级企业在移动设备支持方面承受的额外开支仅为原先预算的1.3%，其它运营效率相对较低的普通企业也仅仅付出了额外7%的成本。这根本不是什么吓死人的大钱，即使是普通企业也完全负担得起。原因很简单：用户在选择移动设备的同时，也会自发学习并尝试掌握其使用技巧。换句话来说，这部分工作根本就不用IT部门来代劳。
“在BYOD方面，员工普遍乐于自己搞定问题，”Borg解释道。移动服务管理供应商Boxtone公司营销主管Brian Reed告诉我们，员工在打电话向IT团队求助时情况一般分以下两种：忘记了自己所设定的密码，或者咨询数据信号的覆盖范围（这是运营商而不是IT部门的问题）。几乎没人会问设备本身该如何使用——这么丢人的事连非技术人员都不好意思干。
我已经跟十几位允许员工自主选择移动设备（包括企业买单与个人购买两种方式）的CIO交换过意见，没有一位在实际操作中遇到过成本无法控制的情况。Aberdeen公司的调查数据也证实了这一说法。事实上，强制要求员工使用同一种特定设备的做法反倒比随意选择更容易导致预算超支——因为员工自己会承担个人设备无法与标准相兼容的后果，Borg指出。
“培训与指导工作的确会带来额外开支，因为我们可能需要招聘新的员工来专职处理iOS及Android系统平台的支持工作——但即便如此，企业也多花不了几个钱，”Borg解释称。他同时表示，大多数企业其实有能力收回这部分投入，因为BYOD令以往由官方承担的设备采购费用转移到员工个人身上，这在无形中节约了一大笔经费。（调查显示，iOS设备带来的支持费用最低，所以选择苹果产品能够最大程度为IT支持节约资源。）
再来看第二点。当我提到iPad、iPhone以及Android设备给企业网络环境及Wi-Fi体系带来的全天候压力时，Borg不禁失笑。没错，更多的IP地址、更大的无线网络流量需求，这都是必然出现的。“但如果连这么简单的工作都不能完成，CIO最好准备卷铺盖走人吧。无论技术发展带来何种挑战，服务供应商都会及时拿出理想的解决方案，而这都属于合理的支出增项。BYOD只是种新的办公模式，它跟充满危险、投入巨大的火箭科学不同，大家用不着太过紧张，”他补充道。
Borg同时指出，即使没有智能手机与平板设备的介入，CIO们也仍然需要处理网络使用量持续走高的问题。根据他的调查，企业无线局域网中已经存在22种业务设备，其中包括视频监控、视频会议以及HVAC控制等，而且“这些技术也都处于迅速发展的阶段。”事实上无线连接的需求始终在增加，因此不管BYOD有没有出现，CIO都需要做出合理规划。
第三个问题，移动设备与业务相结合将在通话及其它数据服务费用上给企业沉重一击。当然，身为CIO该问的第一个问题是“这跟我有什么关系？”因为这笔开支应该由企业承担，而不该由IT部门来操心。业务部门应该将移动网络访问看成管理政策中的一部分，并将与这类技术相关的开支纳入财政预算，最终交给决策层或CFO来审核。作为行政与人力管理专家，他们会分清哪些员工需要新型数据规划而哪些不用。总而言之，那些常常出门在外、需要以15美元一晚的价格在宾馆使用网络的员工，如果能每月花2、30美元获得全天候网络接入服务，这对于企业来讲无疑是节约而非浪费。
好消息是运营商对于个人用户往往更为友善，因此以个人为单位的服务套餐价格往往能比企业规模采购节省三分之一甚至一半的经费。这也正是BYOD趋势受到广泛欢迎的重要原因之一。
还有另一个原因：比起在话费账单上大做文章，不如揪出员工使用规划中的疏漏——只要按月向员工支付话费补贴，企业管理者完全不用再忧心具体的实施问题。如果对现有服务价格不满，大家完全可以以谈判方式引入竞争机制，也可以像我这样同时使用两家运营商的产品（最好在iPhone及iPad上只采用两套服务方案，虽然今年Sprint已经推出了3G iPad套餐产品，但我觉得同时引入三家会给管理带来很大难度）——问题就这样迎刃而解了。
另外，如果大家已经决定支持BYOD，那么与多家运营商合作也将在所难免——只是出于企业利益就强迫员工更换电话号码实在不太人道。无论是谁来管理电话服务——CFO团队、CIO团队或者是其它业务部门——事先准备好多套方案至少能在移动电话领域减少许多麻烦。
采用固定补贴制度还能带来以下好处：
- 管理者可以根据判断为每位员工设定补贴额度，这就使得企业支出变得更有规律可循。大家不妨制定几种补贴方案，这样就能让长期出差在外的员工与始终坚守总部的员工都能获得合理的报销机制。企业还可以根据岗位为一些员工报销全部话费开支、而为另一些员工报销工作日中的话费开支，这样就能充分适应各员工的实际情况。
- 可以将家庭成员之间的通话优惠考虑进来，这样大部分亲朋好友间的私人通话就不必由企业买单了——这又能为企业削减不少预算压力。
- 员工会对话费支出精打细算——由于企业只会根据实际情况进行月度补贴，因此员工会认真考虑自己的通话是否属于“国际漫游”、iPad流量是否还在每月额度之内。毕竟超支部分要由员工自己买单，相信每个人都会认真对待自己账单。
- 补贴制度还会强化员工的自主精神与企业责任感，作为深受信任的一分子，他们会以饱满的热情与积极性投入到轰轰烈烈的生产与成本节约活动中来。
“几年前我就开始尝试利用补贴制度控制IT支出，如今它已经成为我的独门法宝了，”Achievo公司CIO 兼高级顾问Bernard Mathaisel指出，这是一家软件及IT外包企业。Bernard之前还担任过迪士尼、福特汽车、旭电公司以及其它多家企业的CIO。“补贴制度能帮我们规划并追踪IT预算去向、了解用户需求、监控设备使用情况、引导设备选择并把新平台与现有基础设施相对接。它将IT从传统的点对点应用转化为宏观调控工具，最终为企业带来皆大欢喜的局面。”
保守派CIO、律师或者人力资源主管也许会对这种机制表示质疑，他们担心未补贴部分带来的后续影响或是不同补贴方案会打击员工的工作积极性。但事实上企业中长久以来都存在着这类分组机制：长期出差在外的员工必然会获得更丰厚的驻外及住宿补贴——整套方案已经相当成熟。为了避免经费超支，有些企业还会执行硬性补贴额度，而直接忽略员工的实际开销。不仅如此，在绩效奖励、薪酬、赠股、居家办公权限、公车使用等方面，企业都已经有过分级管理的尝试，因此我们可以肯定移动设备并不会给预定运营成本带来太大的波动。而且我要再次重申，无论出现哪种情况，这都不是CIO或者IT部门应该考虑的问题。
更棘手的问题：所有权共享引发的麻烦
现在我们要换个角度审视移动技术：设备及其配套服务的所有权同时归属于企业与员工本人，我们无法清晰界定所有权的具体归属者。尽管iOS与黑莓都拥有能够将业务内容与个人内容相隔离的理想工具（Android的某些机型也能实现），但二者相掺杂的现状仍然是大部分对BYOD望而却步的主要原因。
Aberdeen公司还在调查报告中对移动设备多样性产生的安全问题及高成本谣言予以批驳，事实证明：半数世界顶级企业禁止员工自带设备办公、另一半则分为允许合规设备介入及允许指定设备介入两种。而在其它受访企业中，超过一半支持员工的自带设备行为。因此，最擅长管理BYOD的企业基本上不会任由个人设备在业务环境中自由泛滥。
作为一位保守派CIO，大家肯定会拿出以上事实，希望证明自己禁止移动设备介入的现实必要性——当然，在绘声绘色的描述下，这种发言听起来确实有些道理。然而，数据所反映出来的真实结论应该是：对移动设备完全不加限制的公司绝非世界顶级企业；这些管理者对于访问自己网络及数据的设备没有直观认识、而且也没有为网络及数据保护制定任何行之有效的政策。换言之，这些管理者没有承担起自己应负的责任。
顶级企业实际上普遍支持移动设备的多样性：其中74%支持两种或两种以上设备——整体企业能做到这一点的有65%、而业界“落后”的企业则仅有45%制定了如此广泛的支持规划。问题在于，大多数企业认为放开设备选择权就等于放弃了设备所有权，这是因为管理者往往认为所有权是这实施管理政策的必要前提。具有讽刺意味的是，在所有制方面采取保守态度的企业在设备多样性领域反而不那么保守。
Aberdeen公司的数据显示，坚持保留设备所有权的顶级企业在管理设备多样性方面已经颇具信心，其中不少甚至在考虑进一步放开限制。调查报告指出，很多保留所有权的顶级企业已经计划对部分甚至全部员工开放设备归属权，这一比例大大超过普通企业的反应速度。
Borg认为，这进一步证明系统方案开始分批分步解决设备多样性带来的问题，并从长远角度确保了移动技术的健康发展。“开放反而标志着信任与更为谨慎的管理策略。顶级企业管理者在实施方案部署之前，会确保所有MDM工具都能获得供应商宣传的良好效果并与员工所使用（包括员工持有）的设备完美契合。因为他们清楚，一旦放开缺口就再无回头路可走。”
归根结底，与时俱进的CIO即使尚未行为，也必然已经看到移动设备多样性及用户选择能够给企业带来的巨大收益，同时也已经初步完成了IT支持及设备管理的实施草案。工具已经唾手可得、实施流程同样有规可循、就连安全风险也比不作为或是一味逃避更低，我们实现没有理由不向BYOD趋势敞开友善的怀抱。
更有价值的是：利用政策性方案解决移动多样性问题还能给管理者带来处理次世代挑战的宝贵经验——无论是云计算、社交技术、数据分析还是其它各类充满争议的业务新思路都能在此获得借鉴与指导。经历了移动多样性的考验，您的IT部门才能进一步应对其它难题，并最终成为企业现代化进程的坚固基石。
咨询企业Hackett集团全球IT实践主管Rick Pople指出，大多数企业将陷入新技术带来的艰难磨合与对抗。中层管理者将很快意识到，如果迈不过多样性这道鸿沟，他们将很快在市场竞争中折戟沉沙——而且不少管理者时至今日仍然没能找到正确的处理方向。“正因为如此，我们才看到这么多企业拼命维护自己的控制权，却不敢对事务处理、系统平台及数据等技术项目的多样性迈出试探性的一步——人类、社会乃至世界都在本质上崇尚自由，与之相对抗只有死路一条，”Pople总结道。
正因为如此，CIO对于BYOD趋势的反应才成为今天考验技术管理者个人水平及前瞻能力的标杆：移动技术是目前最紧迫、最显著同时也是影响最深远的巨大变革，乘风而起者将笑傲业界、困兽犹斗则会把企业拖入衰亡的深渊。
