什么是 BYOD 策略？规则、执行与 DNS 过滤
什么是 BYOD 策略？了解核心规则、执行选项、隐私限制，以及 DNS 过滤如何控制工作网络上的个人设备。
Published 2026年11月3日
员工的个人手机上装有工作电子邮件应用。然后他们把它遗忘在火车上。IT 部门能否立即阻止访问？能否在不删除家庭照片的情况下删除工作邮件？员工应该联系谁？
这些问题的答案不应取决于由谁来接手服务台工单。自带设备策略（通常简称为 BYOD 策略）可以在个人设备引发业务安全事件之前制定好规则。
目录
- BYOD 策略包含的内容及其存在原因
- 策略必须强制执行的安全控制措施
- 执行选项对比
- DNS 和内容过滤如何融入 BYOD 控制
- 隐私限制、监控和员工同意
- 超越设备合规性的身份与访问风险
- 设备丢失、被盗和离职处理程序
- 在撰写策略前确定 BYOD 适用范围
BYOD 策略涵盖的内容及其存在的原因
BYOD 策略是一套正式的规则，规定了个人拥有的手机、平板电脑和笔记本电脑如何访问组织的系统和数据。它将设备的使用权限与可执行的安全要求、隐私限制和责任联系起来。
员工仍然拥有手机的所有权。安装工作应用并不意味着将所有权转移给雇主，而拥有手机并不意味着员工可以无限制地访问公司信息。协议必须明确双方的权限边界。
每项策略都必须回答的问题
一份实用的策略应回答三个问题：谁可以连接、他们可以访问什么，以及适用哪些安全与隐私条件。对于丢失的手机，这些答案将决定电子邮件访问是否获得授权、哪些业务文件可以存储在本地，以及 IT 可以采取哪些响应措施。
随着个人设备的使用超出偶尔特例的范围，BYOD 逐渐成为工作场所的一项议题。Destination CRM 关于英特尔经验的报道 将 2009 年视为确认这一趋势的重要里程碑。核心变化不仅在于谁购买了硬件。雇主还必须保护非自身所有设备上的身份、网络和信息安全。
这种做法依然非常普遍：根据 JumpCloud 的 IT 趋势报告（由 Grand View Research 引用），2024 年有 70% 的企业允许员工使用个人设备办公。然而，仅靠允许并不等于保护：JumpCloud 的 BYOD 统计数据 报告称，在 2024 年，超过 20% 的企业表示，在过去的 12 个月中，由于未管理的设备连接，数字资产下载了恶意软件。
BYOD 策略的核心要素
| 策略要素 | 解答的问题 | 典型规则 |
|---|---|---|
| 符合条件的设备 | 允许接入哪些设备和操作系统？ | 仅支持受支持的操作系统版本，且须达到 IT 部门规定的最低版本要求 |
| 身份验证 | 用户如何证明身份？ | 多因素身份验证，最好具备抗钓鱼能力 |
| 安全控制措施 | 设备必须具备哪些配置？ | 屏幕锁定、加密、最新的操作系统补丁、无越狱或 Root 行为 |
| 访问权限范围 | 设备可以访问哪些系统和应用？ | 经批准的应用以及遵循最小权限原则的资源清单 |
| 隐私与监控 | 雇主可以查看或检查哪些内容？ | 监控仅限于受管理容器，且须提前通知员工 |
| 设备丢失、被盗或离职处理 | 业务数据将如何处理？ | 选择性擦除工作容器并撤销访问权限 |
| 技术支持与费用 | 谁来买单？故障由谁解决？ | 费用报销规则及明确的技术支持界限 |
每一行都需要一条明确的规则，而不是安全行为的通用承诺。请指明支持的最低操作系统、识别批准的应用程序，并准确定义清除操作可以删除的内容。员工不应在紧急情况下再去解读技术上的模糊之处。
策略必须强制执行的安全控制措施
安全要求应当是获得访问权限的前提条件，而非员工可以忽略的建议。如果设备未满足强制条件，IT 部门应阻止受影响的访问，并解释员工应如何重新获取访问权限。
NIST 的移动设备 BYOD 指南 支持企业移动性管理、应用程序审查、设备完整性检查、受保护的工作容器和加密传输。应将个人设备视为潜在的不信任设备，直到通过相关检查，而不是仅仅因为其所有者是您的员工就信任它。
将要求转化为访问检查
- 要求受支持的操作系统和补丁最后期限。明确指定受支持的版本，并要求在规定时间内进行更新，因为缺失补丁可能会让攻击者利用已知漏洞。
- 要求加密和有效的屏幕锁定。指定允许访问设备的身份验证方式、最低凭据要求以及无操作超时时间，确保被盗或无人看管的手机不会直接暴露工作邮箱。
- 工作登录必须进行强身份验证。在支持的情况下优先使用防钓鱼身份验证，切勿仅凭已批准的设备来替代对用户真实身份的核实。
- 要求批准的注册或受保护的工作配置档案。将业务信息保存在受管理的应用程序或存储空间中，以便 IT 部门能够执行业务控制，而无需将个人应用视为公司财产。
- 阻止 Root 或越狱设备。此类修改会破坏合规性检查所依赖的平台保护机制。
- 仅允许经批准的工作应用程序。在批准前审核应用权限和数据共享行为，包括应用是否可以将业务文件复制到个人存储空间中。
- 要求加密传输。使用安全的应用程序连接并在适当情况下使用 VPN，并制定明确规则来指定哪些资源需要该保护路由。
此清单图表突出了 IT 部门必须验证的设备级前提条件。
使控制措施具备可审计性
对于笔记本电脑，请说明所支持的端点保护以及 IT 如何验证其处于活动状态。247TechTeam 关于 Windows 和 Mac 安全软件选择 的指南可以帮助读者比较软件选项，但 IT 部门仍必须定义自己批准的配置。
请将设备要求与 网络分段 分开。通过健康检查的笔记本电脑不应自动获得不受限制的网络访问权限。
审计测试： 每项强制性控制措施都需要指定的责任人、实施截止日期以及检查合规性的可靠方法。
如果策略规定员工必须确保设备安全，但没有人能验证其具体含义，那么该策略就尚未准备好强制执行。
执行选项对比
再以遗留在火车上的手机为例。在进行了适当配置的完全设备管理下，IT 部门可能有能力擦除整个手机。而借助托管的工作配置文件，IT 部门可以仅针对业务环境进行擦除，同时不影响其中的个人照片。
技术能力与授权许可完全是两回事。 管理控制台提供擦除按钮，并不意味着使用该按钮就是合适或获得授权的。
按控制措施和隐私影响划分的执行选项
以下隐私评级是实用性对比，并非保证。实际暴露情况取决于平台功能、配置以及管理员启用的遥测数据。
| 选项 | 控制内容 | 主要限制 | 隐私影响 |
|---|---|---|---|
| 完全移动设备管理 | 整台设备的设置、应用，并在支持的情况下进行完全擦除 | 个人设备所有者可能会抵制完全控制 | 高 |
| 托管工作配置文件或容器 | 工作应用和工作数据 | 无法保护同一设备上的个人应用 | 低至中 |
| 移动应用管理 | 经批准的单个应用及其数据 | 无法提供针对设备级威胁的完整可见性 | 低 |
| 条件访问 | 设备或会话是否可以访问云应用 | 需要准确的设备合规性信号 | 低 |
| 移动威胁防御 | 设备上的恶意软件和高风险配置 | 需要添加代理和设备遥测数据 | 中 |
全面管理适用于组织需要广泛控制权且员工理解其影响的情况。在受监管的信息需要这种程度的监管时，配发公司拥有的设备可能比将其强加于个人硬件上更为合适。
工作资料或容器通常是普通员工参与 BYOD 的更好起点。它为 IT 部门提供了一个明确的业务管理区域，尽管它并不能确保设备上其他地方的所有内容都是安全的。
针对资源选择控制措施，而非针对标签
应用管理可以适合只需要消息应用程序和文档查看器的员工。其实用性取决于这些应用程序是否能够实施必要的限制，例如防止业务文档在未托管的应用中打开。
条件访问适用于云服务，因为管理员可以在登录时或支持的会话检查期间做出准入决策。移动威胁防御提供了额外的风险信号，但检测并不能替代访问决策或响应程序。
这些选项并不是相互排斥的。组织可以结合使用工作容器、条件访问和威胁检测，同时对严格定义的用户群体使用更严格的管理。
IT 部门对整个设备的控制权限越大，员工可能就越需要让渡更多的隐私。
首先采用既能保护最敏感系统又最具非侵入性的方法。只有当您能明确指出某项风险，并解释为什么现有控制措施无法解决该风险时，才需要添加另一项控制措施。
DNS 和内容过滤如何适应 BYOD 控制措施
个人设备不应直接置于受信任的企业网络中。 请将其放置在单独受控的 BYOD 或访客网络中，然后审慎授权对业务资源的访问。
NIST 的移动设备安全指南 建议在企业 DMZ 之外设立独立的 BYOD 网络，其内部访问权限不得超出用户通过安全远程访问所获得的权限。这意味着接入 WiFi 并不代表获得了访问薪酬数据库、建筑管理系统或管理接口的权限。
在过滤流量之前先隔离设备
假设一名酒店员工带入了一台带有恶意软件的个人笔记本电脑。网络隔离应阻止该笔记本电脑直接联系预订基础设施或其他客人的设备。随后，过滤功能可以减少其能够联系的互联网目的地。
该图表展示了这种隔离。经批准的内部应用访问权限仍需要其自身安全、经过授权的路径。
DNS 过滤在查询阶段发挥作用。在打开网站或联系应用程序的服务之前，设备通常会向 DNS 查询在哪里可以找到相关域名；过滤解析器可以拒绝被识别为恶意或禁止的域名。
通过对 DNS 过滤功能 的实用介绍，有助于将其与审查每个页面或文件区分开来。过滤器评估的是域名请求，而不是用户在允许的连接建立后可能进行的所有操作。
DNS 层能做什么和不能做什么
DNS 过滤可以阻止已确认的网络钓鱼域名和命令与控制目的地。内容规则还可以限制成人内容或赌博等类别，并为员工和公众用户配置独立的网络规则。
例如，Purple Shield 根据设备所在网络的策略响应 DNS 请求，而无需在每台个人设备上安装 Agent。它是对设备和身份控制的补充，而非替代。
界限至关重要：
- 未识别的目的地可能会获得放行。 新创建的恶意域名可能尚未建立风险分类。
- 允许访问的域名并不保证其内容绝对安全。 单靠 DNS 无法检查加密下载内容，也无法区分同一域名下托管的所有页面。
- 网络外流量需要单独考量。 仅因手机此前加入过 WiFi，使用个人蜂窝移动数据的手机不会自动应用场所的过滤策略。
- 备选解析路径可能会绕过预期的控制措施。 管理员需要针对使用不同解析器的设备采取明确的管控手段。
以简短的操作检查清单结束策略的网络部分：独立网络、每个网络都有记录的策略，以及按预定计划审查日志。为每项任务指定负责人，以免阻断规则变成无人管辖的配置。
隐私限制、监控和员工知情同意
BYOD 策略也是一份职场隐私协议。员工需要在注册个人设备之前了解雇主可以收集、检查和擦除哪些内容，而不是在管理员行使这些权力之后才得知。
英国政府 2025 年 BYOD 移动设备政策 要求开展数据保护影响评估、提供清晰的隐私声明，并在可行的情况下将监控限制在企业管理的应用或容器内。这是该政策的要求，并不代表全球每个雇主都承担完全相同的法定责任。
BYOD 策略在个人设备上的触及范围
这些是需要明确的合理界限，而不是对每个管理平台的通用描述。
| 数据类型 | 常见处理方式 | 重要性说明 |
|---|---|---|
| 受管理容器中的工作电子邮件和业务文件 | IT 部门在明确授权下可访问并执行擦除操作 | 策略旨在保护的核心数据 |
| 个人照片和私密信息 | 超出常规策略范围 | 若被检查，涉及个人隐私与法律风险 |
| 应用软件清单 | 在可行的情况下仅限受管理应用 | 完整的应用清单可能会泄露个人习惯 |
| 设备位置信息 | 仅在有明确目的和授权的情况下收集 | 属于敏感信息，需要设定保留期限上限 |
| 工作网络上的浏览记录 | 可以在通知的前提下记录 DNS 请求 | 日志记录必须与安全防护目的保持相适应 |
| 远程擦除范围 | 仅限工作容器（若存在容器） | 完全擦除可能会毁坏无关的个人数据 |
明确书面界限
隐私声明应明确：
- 收集与用途。列出收集的应用清单、位置、网络名称和其他遥测数据，并说明各项数据的收集原因。
- 访问与保留。明确允许查阅记录的角色，并规定记录的删除时间。
- 管理限制。说明监控范围、远程擦除权限以及任何异常调查流程。
- 员工保障。提供申诉误拦截或误删除的途径，并在注册前明确报销和支持责任。
Pebb 关于 平衡员工隐私与通信监管 的讨论，为解释为何监管需要明确边界提供了有价值的参考背景。网络通知还应说明 DNS over HTTPS 如何影响 DNS 可视性，而不是承诺进行全面的浏览监控。
员工协议不应被视为无限制的同意。需要使用手机来完成工作的人可能缺乏实际的议价能力，因此请说明替代方案并获取特定司法管辖区的隐私咨询建议。
假设在选择性擦除之前，家庭照片库被意外复制到了托管存储中。单凭书面承诺无法恢复这些文件，这就是技术隔离和测试至关重要的原因。
组织能否在不读取个人内容的情况下实现其安全目标？
超出设备合规性范围的身份和访问风险
即便有人在设备上滥用账户，设备也可能通过其健康状况检查。信息窃取程序可能会暴露凭据，家庭成员可能会打开现有会话，或者攻击者可能已经控制了云账户。
此图表将看似正常的终端与其背后的账户风险区分开来。
根据 Beyond Identity 对 Verizon《2025 年数据泄露调查报告》的讨论，在遭到信息窃取程序入侵且可能包含企业凭据的系统中，46% 为非管理设备。这一发现针对的是那些受到侵入的系统，而非所有个人设备，但它充分说明了为什么终端所有权不能作为充分的访问边界。
定义登录后发生的情况
关注身份的策略需要针对风险变化制定规则，而不仅仅是初始注册：
- 基于风险的访问。 明确设备安全状况、位置或行为发生何种变化时会触发重新身份验证、限制或调查。
- 资源级权限。 将用户限制在其角色所需的信息范围内，即使其设备通过了合规性检查。
- 会话可见性与撤销。 授予响应人员使活动会话和令牌失效的权限，而不仅仅是重置密码。
- 共享设备限制。 禁止共享工作会话，并明确家庭共享设备是否符合条件。
- 可行性备用方案。 当个人硬件失去访问权限时，提供托管的借用设备或受到适当限制的浏览器途径。
假设销售代表的平板电脑通过了合规性检查，但家庭成员使用了同一个账户。位置检查可能无法发现这种情况，因为两人都在家里。独立的用户配置文件、针对敏感操作的重新身份验证以及禁止共享工作会话的规则可以提供更相关的安全保障。
为了辅助员工指导，人力资源团队可以 浏览来自 HR Management 365 的账户安全文章，并将相关主题转化为特定岗位的入职培训材料。
随附视频可用于支持团队关于这些访问决策的讨论。
此外，还需定义从酒店、咖啡馆和家庭网络允许的访问，包括哪些敏感任务需要受控路由。BYOD 是一项身份和数据访问决策，而不仅仅是一个设备所有权分类：决定个人设备可以安全访问哪些业务资源。
设备丢失、被盗和离职设备处理流程
当设备丢失时，员工需要一条上报途径，响应人员则需要一套经授权的处置流程。对于计划内的离职，请围绕员工商定的结束时间安排相同的访问权限移除工作。
服务台响应顺序
- 员工上报。提供即使没有丢失手机也能使用的便捷上报渠道。要求及时上报，并由服务台记录注意到丢失和实际上报的时间。
- 身份管理员撤销访问权限。使受影响的会话和令牌失效，在必要时阻止该设备并冻结账号。请注意区分终端设备丢失与账号级别的风险暴露。
- 设备管理员发起清除。发送授权的选择性清除指令。对于任何拟进行的整机数据擦除操作，须提交审核以获取所需批准并通知员工。
- 服务台验证结果。检查管理确认状态并确认已拒绝访问。如果设备处于离线状态，应将数据清除记录为“待处理”，而非直接声明数据已消除。
- IT 完成离职任务。移除设备注册、撤销设备证书，并替换离职员工仍可能使用的任何共享凭据。
- 事件负责人记录操作。根据规定的保留规则保存时间戳、批准记录、指令执行结果以及未解决的风险。
- 隐私或安全审核员处理争议。由独立于初始响应人员的审核员来审核误封锁或误删除操作，并妥善记录恢复访问权限的授权路径。
运维安全保障： 发送远程命令并不等于远程命令已完成。
向服务台提供一份包含此流程的单页操作手册，其中包括指定的角色负责人、升级联系人、审批要求和完成清单。使用离线设备对其进行测试，以便响应人员了解他们可以验证的内容以及仍不确定的内容。
在编写策略前确定 BYOD 适用范围
从您打算允许的访问权限开始，而不是从充满限制的模板开始。检查日程的前台接待员和处理敏感记录的管理员，不应仅仅因为两人都使用个人手机而自动获得相同的权限。
明确具体范围
- 明确符合条件的硬件。 列出 IT 部门可以评估和支持的设备类别以及支持的操作系统。
- 对所需信息进行分类。 将每个用户组映射到公开、内部、机密或受监管的资料，并明确哪些地方不允许本地存储。
- 审慎选择执行方式。 对每个组最敏感的资源应用最小入侵控制原则。
- 撰写面向员工的条款。 用通俗易懂的语言阐明合理使用、监控、费用、支持和离职义务。
- 试点真实场景事件。 在更大范围推广之前，测试注册、合规失败、设备丢失和员工离职等流程。
- 指定审查负责人。 设定审查日期，并要求在应用、设备支持或业务需求发生变化时重新进行评估。
将人员映射到网络
多分支机构组织还需要区分员工、访客、学生和居民的访问权限。即使由相同的接入点承载，学校的访客 WiFi 与其员工应用访问权限也有着不同的用途。
不要假定网络名称就能证明使用者是谁。记录用户如何加入、适用哪些身份检查以及哪些业务资源仍可访问。
在起草策略之前，列出风险最高的三个用户组及其使用的网络。添加每个组所需的敏感信息以及负责批准该访问的人员。该清单就是您切实的切入点。
Purple Shield 为访客和 BYOD 网络提供保护性 DNS 和内容过滤，无需在个人设备上安装代理。请访问 Purple Shield 申请试用并共享您的网络、场所和用户组，以便 Purple 专家可以为您运行的每个 SSID 返回策略映射。