當 Android 對企業來說已足夠安全
越來越多的企業將 Android 視為 Apple iOS 移動設備的替代品，但對安全性和支持的擔憂往往成為障礙。文中說明了安全和風險管理領導者應如何努力應對與碎片化相關的安全問題。
概述
主要挑戰
· 企業安全重視一致的移動平台。Android平台碎片化一直是企業試圖達到這種一致性的障礙。
· 企業仍然難以找到易於支持、快速修補並長時間保持最新狀態的Android設備。情況仍然如此，儘管多年來已經啟動了多項措施來加強安全性並減少平台的碎片化。
· 雖然Android為深度定制提供了許多可能性，可以讓組織達到非常高水平的安全保證和合規性，但設置它們可能需要專業知識、投資和時間。在許多情況下，從iOS獲得的安全性可能是一個更實用的選擇，這讓想要選擇Android平台的企業面臨一個艱難的選擇。
建議
負責端點和移動安全的安全和風險管理領導者應該：
· 通過為自帶設備和企業設備建立嚴格且經常更新的設備品牌和型號、操作系統版本和安全補丁級別的最低標準，最大限度地減少碎片化、支持和不一致的問題。在Android的各種選項中，首選Android Enterprise Recommended和Samsung Knox設備。
· 不僅通過比較設備的價格，還通過評估總擁有成本和定制需求來確定Android和iOS作為首選的移動平台，以達到所需的安全保證水平。
· 通過建立適當的配置管理來優化安全態勢，包括最低安全基線、在工作配置文件模式和託管設備模式之間進行選擇以及規劃移動威脅防禦。
介紹
Android是當今占主導地位的移動操作系統。在自帶設備需求的推動下，為了找到iOS的可行替代方案，安全領導者越來越多地考慮允許Android設備訪問和處理企業數據。與平台碎片化相關的安全問題通常是促使企業選擇iOS而不是Android作為其主要移動操作系統的主要原因。這項研究提供了從安全角度評估何時採用Android成為可行的企業選擇的要素，並概述如何安全地進行。
分析
在決定Android是最具成本效益的選擇之前評估總擁有成本
本次討論中經常提到的第一點是，移動惡意軟體針對的是Android平台，而iOS幾乎沒有惡意軟體，其他論點比較了iPhone和Android設備的加密強度。迄今為止，沒有可靠的報告表明任何一個平台上的移動惡意軟體都會導致重大企業違規。
雖然很容易將注意力集中在iOS與Android安全性的純技術比較上，但在大多數現代移動平台已經提供的基本安全功能的某個閾值之上，企業安全性是關於一致性的。按照設計，Android是一個開放平台，這種開放的後果之一是Android的碎片化：同一個Android版本有多種不同的版本，每種版本都適用於特定的設備製造商、設備型號和網路運營商。例如，某些設備可能不支持特定的應用程序；或者他們可能不會以相同的方式響應移動設備管理命令。這使得實現這種級別的一致性更具挑戰性，企業只能通過廣泛的測試來識別意外行為。故障排除和支持問題也會成倍增加。
此外，由於過程的複雜性，製造商將停止為舊設備發布更新，尤其是對於更便宜的設備，但有時也會為更高端的設備發布更新，這導致設備群同時運行多個 Android版本，而較舊的版本可能存在嚴重漏洞。
確保您的Android設備已安裝安全補丁並且是最新版本
如果您決定在企業中允許使用Android，那麼在定義任何額外的企業安全機制之前，必須只註冊最新且沒有漏洞的設備。由於Android的碎片化，這項任務將比iOS設備更具挑戰性。
例如，Google將Android安全補丁與更通用的操作系統更新脫鉤，試圖加快更新速度。其Google Play服務還提供補救措施，因為它們允許快速將補丁應用到Chrome瀏覽器等應用程序，以防止更新之間的漏洞。最近，Google推出了Android企業推薦計劃，旨在減少碎片化並簡化企業對Android設備的選擇。該計劃並不是Google首次嘗試緩解Android設備版本的碎片化問題。但是，最新措施的企業重點可能會對企業產生更大的積極影響。儘管Google在這一領域的措施是正確的，但企業要獲得收益還需要時間。
為了維護一系列Android設備的補丁，企業需要設定最低可接受的標準，將 Android視為自帶設備選項的企業應定義一組受限模型。然而，將Android視為他們可能選擇的移動操作系統的企業理想情況下應該選擇單一的Android模型（或最多兩個或三個模型，有時根據任務和資歷分配），以最大限度地減少自我引起的碎片化。
直接從Google（例如Google Pixel）而不是運營商購買的設備將提供更快的更新。但是，這些設備並非全球可用，許多企業將繼續從運營商處採購其設備，作為更大服務的一部分。儘管不是Google的Android企業推薦計劃的一部分，但我們仍然認為三星設備是一個不錯的選擇，這取決於他們在安全更新方面的記錄。無論哪種方式，都必須確保企業的風險狀況可以接受30到90天的時間窗口，讓移動設備沒有最新的安全補丁。
配置Android設備以滿足安全性和可用性要求
配置Android設備進行管理時有三種可能的模式：設備管理(Admin)、配置文件所有者和設備所有者（後兩種更常稱為“工作配置文件模式”和“受管設備模式”）。Google正在棄用設備管理員模式。企業應該更喜歡後兩者，作為Android企業的一部分，它們包含一組管理策略，可以減少支持和碎片化問題。這些策略是Android平台的一部分，應該在從Android 6.0開始的所有設備（包括Android Go設備）上可使用並標準化。
Android平台提供了一系列主動安全機制來代表應用程序和其他資源識別不需要或惡意的行為。這些機制包括Google Play Protect（它是Google移動服務的一部分）、SafetyNet和驗證應用程序，並對用戶和企業透明地運行。
與iOS的Secure Enclave類似，Android提供了稱為可信執行環境(TEE)的硬件root。應用程序或設備管理工具可以利TEE機制來確保設備的完整性並執行有限的精細操作。
