若再從企業IT觀點來看，近年來許多企業在行動領域應用方面，也已經從傳統的商務通話、簡訊應用、Push Mail等服務、進展到利用行動應用程式(App)來提升行動工作者的工作效率及生產力，尤其在某些金融、醫療、服務及物流業中行動運算的發展特別顯著，因此企業在行動化過程中將面臨一些資安問題的挑戰：
- 是否開放員工使用行動裝置連結企業內部系統
- 如何保護企業行動裝置內的機密性資料
- 行動裝置遺失時的處置方式
- 因應日漸增加的惡意程式攻擊
- 因應透過行動裝置的個資外洩事件
- 企業行動App的佈建與管理問題
- 行動App如何整合企業內部系統
為了解決這些問題，企業組織應該開始進行行動裝置應用程式的風險評估，並且制定員工行動裝置管理(Mobile Device Management)政策來因應行動化所帶來的風險。
本文將分析與探討使用智慧型手機的各種潛在風險並提供建議性的因應方法，以便個人在享受智慧型手機所帶來的便利性外，亦能確保其資訊安全，企業在導入行動化過程中亦能降低潛在的風險。
智慧型手機的威脅與風險
現代的智慧型手機就等同一部可隨手攜帶的微型電腦，但就安全性而言，智慧型手機本身設計與預設組態上卻存在不少潛在的弱點，例如他們在大部份的使用情況下並沒有要求使用嚴謹的密碼，輕巧體積易於遺失與被竊，手機系統與App較少安全性測試，再加上用戶可能常安裝太多不必要或未安全性測試的軟體，安全性認知與教育訓練缺乏以及手機連線網路日益頻繁、因此其可能遭遇的風險威脅亦日益增加。
另一方面，若從手機用戶的使用角度分析，智慧型手機的安全性風險高低其實和使用者的使用方式有著密切的關係，因為手機的重度使用者與一般使用者其所面臨的威脅來源和風險高低通常有顯著的差別，重症的手機使用者通常會經常下載應用程式，經常上網、頻繁使用社群網站、大量使用傳簡訊App、照相，密集使用各種雲端服務，甚至開啟並使用藍牙網路，這都會讓使用手機的風險性大幅提升，而輕度使用者通常仍是以傳統的打電話與傳簡訊為主且偶而上網，其間的使用方式差異讓其手機暴露弱點的多寡大不相同，因此對於不同程度依賴手機的使用者，其手機的保護策略、重點與涵蓋面自然也隨之不同。
再從資訊安全的觀點來看，資訊安全的目的無非在於確保或提供私密性(Confidentiality)、完整性(Integrity)與可用性(Availability)、不可否認性(Non-Repudiation)等目標，不過就目前智慧型手機的使用習性與使用環境來看，如何確保具有資料的私密性無疑是最重要的工作。
● 手機遺失風險
使用智慧型手機最大風險莫過於發生未經授權的它人可以取得直接存取您手機的權利，而這項風險的發生最主要來自於手機遺失或被竊，手機遺失或被竊通常被視為手機使用上最嚴重的風險，因為一旦手機遺失，使用者恐將喪失手機資料的私密性、完整性及可用性，特別是會失掉並洩露儲存在手機上的資料，這包括隱私性的資料、照片、連絡人，通訊錄等個人資訊，假若您的手機也同時存放企業相關資訊，例如顧客清單、顧客簡訊和通話記綠，經常使用手機接收公司電子郵件時，則還可能造成企業保護性資料的外洩，因此如何針對手機遺失和被竊的風險，提供有效的因應與控制方法就成為重要的課題。
● 手機惡意程式的威脅
智慧型手機目前還面臨越來越多惡意程式的威脅，其中以android手機系統的問題最為嚴重，因為android手機的市佔率最高且系統採用開放策略，任何人都可為Android系統撰寫程式，並且在不受嚴格審核的情況下即可發布，因此提供了惡意程式一個較佳的散布機會與平台，行動裝置環境目前已發現的目前的惡意程式種類與傳統的PC領域相近，只不過利用的弱點、途徑與造成的影響略有不同，值得未來留意的手機惡意程式包括了 ：
- 蠕蟲 (Worm)：此種惡意程式可以在不需要人為的介入執行情況下不斷的在行動裝置中傳送(通常可利用文字訊息SMS、多媒體MMS或藍牙)，因此蠕蟲可怕之處是其具有快速的散佈至其它裝置的能力，此外，亦可藉由不斷的拷貝並利用有害和誤導的指令來破壞或修改行動設備的作業系統。
- 木馬 (Trojan)：通常透過使用者下載應用程式而植入手機系統，它們通常會佯裝成有無害且有特定用途的檔案，誘使使用者下載、開啟或執行，一旦使用者受騙而執行此類型惡意程式，他們可能會收集盜取手機上有價值的資料並將其傳送至遠端機器而導致資料外洩，此外，木馬程式也可能造成手機系統上的某些功能或應用程式無法正常運作。
- 間諜軟體(Spyware)：這種惡意程式經常隨著您下載不當的軟體而來，它們會監控手機系統的行為，趁機收集有用的資訊，甚至變更手機上的組態、偷傳簡訊撥打電話造成您金錢上的損失。
- 廣告軟體(Adware) ：為數不少的免費App常存在廣告程式碼(Adware)亦造成使用者的困擾，這可視為一種擾人但無害的軟體。
雖然目前手機上的惡意程式與PC電腦上相較起來仍是相對少數、感染範疇也較有限，但在行動裝置日益普及的今日與未來，手機的惡意程式恐將日漸氾濫，不得不慎以因應。
● 人為使用不當的風險
另一項普遍卻常被忽略的潛在智慧型手機問題在於用戶使用設定不當所造成的風險，例如不少使用者(包括作者)會強行開啟原手機系統的安全性控制與限制功能，在iOS上常被稱為「越獄」(Jailbreak)行為，在Android上為啟用root權限，越獄可解除iOS安裝其它或修改作業系統的限制，側載(sideloading)安裝未簽署的應用程式，使用root權限，不使用保護限制的沙箱(sandbox)環境，而android的root機行為則純粹讓手機可在最高的root特權下運作，這些開啟原廠商安全性限制的作法可能讓您的手機曝露了更多安全性的問題、而且亦違反手機業者的服務協議，於日後可能無法獲得系統或產品的維修與更新服務，況且越獄或root機不當可能會造成手機變成磚塊人無法使用，這自然是一項風險。
另一方面，手機系統與應用程式功能越來越豐富與複雜，也造成使用者一旦設定不當可能會造成特定應用程式(部份)功能無法正常運作(malfunction)，甚至影響到系統的正常運作，例如作者就見過不少朋友的手機於開機時載入太多不必要的程式而影響到開機與運作的效能與用電量，此種人為因素造成了手機使用的無效率亦可視為一種風險。
● 網路攻擊
目前針對手機的網路攻擊雖尚未至氾濫地步，但卻也日益普遍，再加上手機的網路使用方式與電腦越來越雷同，存在有TCP/IP協定，Wi-Fi、藍牙網路的弱點，只不過手機大多屬於行動網路，針對特定目標的策劃性攻擊較不易實施，目前網路攻擊的案例可見於濫用文字簡訊(SMS)、多媒體簡訊(MMS)的阻絕攻擊，上網與郵件上的釣魚詐騙手法、無線網路的竊聽與偽裝等。
還有一種特別值得留意的攻擊是攻擊者可以利用程式碼的漏洞、置入隱碼等軟體的錯誤來取得手機的部份或完整控制權限。
智慧型手機安全性防護對策與建議
一旦了解現代手機所面臨的使用風險及威脅之後，使用者必需提出有效的因應控制對策，本節將提出一系列有效的智慧型手機保護對策與相關建議。
首先，針對手機一旦遺失如何避免手機內資料外洩，目前的建議對策為設定手機鎖定功能並且啟用遠端清除資料機制。
◆ 設定手機鎖定功能
為了避免手機遺失導致資料外洩，第一道防護措施為設定手機鎖定功能，讓撿到或竊取手機者無法立即使用您的手機，所以您應該設定一段閒置時間後即鎖定螢幕，然後利用PIN(只有數字)、密碼(包含數字與字元)或連接點圖形才能解除鎖定以再度使用手機，目前市面上的手機系統均有提供這項鎖定功能，只不過設定的介面與方式略有不同，以作者的android手機為例，只要是2.2以上的系統即可支援連接點形、PIN與密碼等三種鎖定方式(先前的版本只支援連接點圖形)，若是您的android為更新的4版以，上則還可以使用臉部解鎖功能，當然您需要在能夠快速解除鎖定和不易猜測破解之間做一個平衡上的取捨，Android設定時只要經由【設定→位置與安全性→設定螢幕鎖定】選項，選取適當的鎖定方式(圖形、PIN或密碼)再輸入正確的解鎖連接點、數字或字元，此外您還需要經由【設定→顯示→螢幕逾時】設定閒置逾時多少時間就鎖定螢幕(下圖為作者手機的android 2.3.4畫面)。
至於其它手機系統，如iPhone可由【設定→ 一般 →密碼鎖】選項加以設定，微軟的Windows Phone手機則透過【設定→鎖定畫面】選項。
另一方面，如果您有需要保護的個人資訊儲存在SIM卡，或避免它人利用您的SIM卡打電話，那麼設定SIM卡的PIN鎖就有其必要性，以便每次手機開機時均需輸入此密碼。
◆ 啟用手機遺失遠端清除資料機制
用戶在遺失手機時，用戶儘可能能夠迅速尋獲找回手機為第一要務，如若未果，就需利用遠端遙控鎖定或刪除重要資訊。
蘋果的iPhone手機只要透過 icloud.com 上的網頁應用程式「尋找我的 iPhone」，就可以協助尋找已遺失並已設定啟用「尋找我的 iPhone」的手機裝置，透過「尋找我的 iPhone」不僅可以在地圖上查看手機的所在位置，還可以清除裝置上的資訊。
微軟的 Windows Phone 也提供了類似iPhone的搜尋功能 --「尋找我的電話」，它可以地圖定位電話位置、讓電話發出鈴聲、鎖定電話和清除電話資料等功能。
Android 手機並無內建的遺失處理機制，不過您可以透過app來達成，例如使用Android lost這套app，利用網絡及 SMS方式來遙控手機，向手機發出警報聲、啟用並發出GPS位置、鎖定手機和抹除資料等指令，
◆ SD卡加密
手機使用者經常會將大部份的私密性質資料直接儲存在SD卡上，由於SD卡為可攜式的存放媒體，若您的手機遺失，有心人士可以直接取出手機的SD卡並在其它手機或電腦上讀取，所以為了避免SD卡上的資料因遺失被竊而外洩有價值的資訊，您需要對SD卡做離線加密。
4.0版後的Android系統可支援SD卡加密，啟用時須特別留意：由於初次加密SD卡時需要耗費不少時間，因此您需要有80%以上的電力或插入可靠的電源，並且先設定好螢幕鎖定密碼後才能夠順利啟用這項加密功能。
另一方面，蘋果iPhone在3GS版本之後，其機身內部新增了一組加密晶片，提供了裝置上所有儲存資料的加密，，不過iOS的硬體式加密技術最主要的目的在必要時以最短暫的數秒內就抹除裝置上的所有資料，因為一個簡單的越獄動作而可以略過密碼處理時，這時仍可以開啟讀取裝置資料，不過由於它使用每部裝置所專有的金鑰加密，因此有心人士若將SD卡移至其它任何設備確實是無法讀取。不過蘋果公司在iOS 4內新增了一項資料保護的功能，提供了裝置上安全性的資料加密功能，而使用了裝置的密碼為金鑰來對資料加密，亦即您需要有裝置密碼才能夠解密，否則即使您可以越獄系統亦無法讀取資料，不過這項資料保護功能需要App支援資料保護API才能夠使用，目前似乎只有郵件app使用，其它app目前很少使用，況且iOS的資料保護加密功能無法和使用iCloud雲端儲存的應用程式一起使用。
微軟的Windows Phone 沿用了原來Windows 7內的Bitlocker磁碟加密技術對整個內部儲存體加密，但基於SD卡與電腦的互通性考量以及微軟Windows Phone的SD卡通常限制只能夠存放音樂、視訊、照片與電子書等檔案，而非文件，因此目前的Bitlocker並無法對SD卡進行加密儲存。
◆ 不要下載來路不明的應用程式
針對目前最多惡意程式的Android系統而言，其App主要來自於Google Play 或Amazon Appstore for Android 等知名商店，所以使用者若是從這些正式管道來下載的應用程式大抵上比較不會有惡意程式的問題，不過仍建議您在下載之前先看看評分(rating)、下載量和評論等資訊，如果一個免費的app下載量很低或會向您收集電話、位置、聯絡資訊的軟體，則請直接跳過這個軟體，一般最忌諱使用者由來路不明的地方直接下載apk檔來安裝。
◆ 考慮安裝防範行動惡意程式軟體
由於手機的惡意程式已是越來越多，幾乎到了無法輕忽而必需正視的地步，所以目前已有不少廠商業已提供行動裝置的安全性套件可供下載，其中包括了付費的版本以及免費的版本，通常免費版本支援較少的安全性防護功能，若以惡意程式比較嚴重的android手機市場，Google play上可免費下載的知名安全性套件如下：
- Lookout Mobile Security
- avast!Mobile Security
- BitDefender Mobile Security & Antivirus
- TrustGo
- Line Antivirus
- Norton Mobile Security
- Zoner AntiVirus
同樣的，iPhone和Windows Phone手機亦有不少的安全性或防範惡意程式套件可供選擇下載，總之，如果您的手機經常處於較高風險中(例如經常安裝非來自google play的軟體)，則您可以自行比較後選擇其中之一來下載安裝，不過安裝手機的防惡意程式也有一些可能的缺點：
- 耗費資源與電量
- 成本 (可使用免費版本)
- 誤判
所以是否有必要在手機上安裝這些安全性軟體，您可以評估手機的使用風險性和優缺點之後再來決定。
◆ 關閉不常用的網路類型
目前的手機網路內的Wi-Fi和藍牙均有為數不少的可攻擊弱點，其中藍牙網路的攻擊手法包括藍劫 (Bluejacking)、藍牙侵吞 (Bluesnarfing)、藍牙竊聽(Bluebugging)、藍牙點測 (War-nibbling)、藍牙狙擊 (Bluesniping)，由於藍牙的傳輸距離很短，因此安全性問題目前並不嚴重，不過建議若您不常用藍牙，平時應將您的藍牙設定為「不可偵測（non-discoverable）」(關閉傳輸； transmission-disabled) 模式，僅在有需要使用時才切換為「可偵測」模式，至於傳統的無線區域網路--WiFi，若平常不用時也建議予以關閉，直到須要使用時才啟用。如此的做法不僅可以提升安全性還可以節省電力。
◆ 備份手機資料
備份是保護資料的最後一道防線，所以使用者對於手機內的個人資料或應用程式需要定期予以備份以備不時之需，另一方面，日後即使換新手機時亦可透過備份的資料快速建立手機所須要的資料與應用程式。
舉個例而言，假若您是公司的銷售人員，平日均使用手機的電話與簡訊App與顧客溝通，手機內存放所有顧客的資訊以及通訊記錄，假若今日您不慎的把手機給遺失了，由於沒有手機就無法接聽顧客電話簡訊，可能會喪失生意，因此您首先向所屬的電信公司辦理停話，申請重辦SIM卡，購買新手機開通後，如何在最短的時間內讓新手機內具有和您原手機上的顧客聯絡人、通訊記錄和簡訊App，這就牽涉到平常有無完整的設好手機同步或備份工作，就資安備份理論而言，好的備份策略需具備最短的復原耗時目標(Recovery Time Objective)和最近的復原點目標(Recovery Point Objective)，因此如何達到這個目的，得事先制定好手機備份策略，而備份手機資料的策略需要先考慮下列幾項備份要項：
- 備份哪些資料(What)：那些手機內的資料需要備份端視使用者使用手機的方式而定，一般而言，手機上需要備份的資料經常包括了連絡人、通訊錄、簡訊、照片、通話記錄或應用程式等，若您希望備份整個儲存體內所有一切系統和資料，則通常需要越獄或rooted手機。
- 備份的位置 (Where)：備份的目的位置影響到日後還原和管理備份的便利性，常見的備份位置包括SD卡、雲端磁碟及電腦，SD卡為手機上可隨手抽取的外部儲存空間並且大部份電腦亦可讀取， 所以相當便利，但一旦手機遺失，SD卡也將遺失，因此備份時將其直接備份或同步到網路磁碟機上就成為另一個較佳的選擇，此外，備份時利用網路或USB連線亦可直接備份至電腦。
- 備份的時間與排程 (Time)：手機的資料最好可以定期自動備份，以免除每次均採手動備份的負荷以及容易忘記備份的風險，而大部份雲端與網路的備份方式均可在網路連線時自動同步，這可讓您的備份資料維護在最新狀況，降低最新變更新增資料遺失的風險。
- 備份工具與方法 (Backup Tools and Methods)：手機的備份工具並不少，直接透過系統廠商或手機廠商所提供的備份工具與方法通常就可以滿足大多數手機使用者的備份需求，另一方面下載安裝備份app均是可行方式。
- iPhone手機：iPhone目前有二種內建的備份方式—iCloud網路備份或iTunes電腦備份。最簡單的iphone手機備份方式應是利用Apple 推出的 iCloud 雲端空間來備份或同步，這可以免除連接電腦進行備份的麻煩，不過目前的iCloud有5 GB的容量限制，如果嫌5GB 不敷使用，或是有許多音樂檔或資料需要手動管理的使用者，則可採用另一種備份iphone的方式是將iphone連接至電腦並利用iTunes 即可將iphone內的音樂、App、照片、通訊錄均加以備份到電腦。
- Android 手機：Android 手機內建的【設定→隱私設定→備份我的設定】功能可以將聯絡人、應用程式和背景鈴聲等設定等眾多資料備份到Google伺服器，不過您並無法存取或管理這些備份資料，只能在必要時透過網路加以還原。另一方面，Android手機也有為數不少的備份App 可供選擇， 例如作者習慣採用的Titanium Backup工具可用來備份整個android系統與所有應用程式(但需root權限)。
- Windows Phone：Windows Phone內建的備份方式仍是將資料備份至微軟的雲端磁碟—SkyDrive，備份的項目包含了 "應用程式清單 + 設定"、簡訊、相片與影片，如下圖所示只要透過【設定→備份】可設定Windows Phone備份工作。
◆ 手機處置前請先清除資料或還原廠商預設值
智慧手機的翻新相當快速，幾乎每隔短短幾個月就會出現新型的機種，因此許多使用者也會經常換手機，這時原本手機上的資料就得妥善處置，才不會衍生出資安問題，原則是舊手機在轉送或賣出前應該先抹除一切隱私性與機密性的資料和應用程式，基本作法是直接還原廠商預設值，如下圖為Android手機可透過【設定→隱私設定→重設為原廠設定】來清除手機上所有資料。
另一方面，iPhone手機亦可利用【設定→一般→重置→清除所有內容和設定】來移除保護資料的加密密鑰或覆寫所有資料以達到無法再存取使用狀況，Windows Phone手機也有類似的清除功能--【設定→關於→恢復原廠設定。
結語
智慧型手機的功能性日益豐富與複雜，而越來越低廉的價格也推波助瀾的促成快速普及，再加上員工自帶設備上班(Bring Your Own Device；BYOD)的趨勢下，相對可被有心人士利用的弱點以及攻擊利益動機亦越來越多，近年來國際機構的預測或實際案例也顯示了手機的安全性問題勢必日趨嚴重，因此不論是個人或企業組織都必須開始正視手機的安全性問題，個人手機首重手機遺失被竊的威脅，預先設定好手機資料的同步備份與遠端清除機制，公司導入行動化的過程亦必需制定行動裝置管理(Mobile Device Management)政策，以避免尚未獲得行動生產力的好處，卻先遭逢行動裝置的風險。
