去年秋天，一家做金融科技的公司遇到了一件棘手的事。他们的产品经理在出差途中背包被偷，里面装着一台公司配发的笔记本电脑。电脑里存着下一版本产品的全部技术方案、API接口文档和几家合作银行的签约条款。虽然这台电脑设置了开机密码，但因为硬盘没有加密，小偷把硬盘拆出来接到另一台电脑上，所有数据一览无余。这件事最后以公司紧急通知银行修改合作条款收场，直接损失估算超过三百万。

这个故事在保密行业里不是个例。远程办公时代，设备离开公司物理空间是常态，设备遗失后能否保护数据安全，考验的是一个企业的数据保护能力底线。

远程办公设备遗失的数据保护，核心在三个时间点：遗失前做了哪些准备工作，遗失后多久能做出响应，以及能不能对数据进行远程清除。

先说遗失前的准备工作。最基础的要求是硬盘全盘加密。很多人在电脑上设置了密码就觉得安全了，但密码只防系统层面的登录，硬盘一旦被拆下来用其他系统读取，密码形同虚设。全盘加密不同，没有密钥根本无法读取硬盘上的任何数据。Windows系统自带的BitLocker和苹果系统的FileVault都支持全盘加密，开通即可。问题是很多企业没有把全盘加密列为硬性要求，有些员工为了图省事直接关了。

第二个预防措施是启用设备定位和远程擦除功能。现在主流操作系统和移动设备管理方案都支持这个功能。但我在实际评估中发现，超过半数的企业员工没有开启这些功能，或者开启了但没有测试过是否真的能用。有位信息安全经理跟我说过一句话：没测试过的安全功能等于没有。

第三个预防措施是不要在设备上存储不必要的数据。据我观察，很多人的做法正好相反，电脑里存着大量跟手头工作无关的旧项目文件。一台远程办公电脑上装了十年的项目资料并不少见。减少设备上的数据量，不仅能降低遗失后的风险，也能提高日常工作效率。

如果设备已经遗失了，首要件事是冷静评估设备上存了什么数据。能做到这个评估的前提是有完整的资产登记和敏感数据台账。我见过一个例子，一家公司有员工丢了一台电脑，管理层花了两天时间才搞清楚那台电脑里存了什么文件。而这两天的延迟，足够攻击者把所有有价值的数据复制和转卖。

确定数据范围后，应该立刻执行远程擦除操作。这里有一个容易被忽略的问题：远程擦除的前提是设备能联网。如果设备遗失后一直被关机或者处于离线状态，远程擦除指令就发不过去。针对这种情况，有些企业会在设备上部署预置触发机制，比如连续输错十次密码自动擦除。但这类机制需要提前在设备管理策略中配置，事后无法追加。

另一个值得讨论的话题是远程办公设备的保险问题。现在有些保险公司提供电子设备数据泄露险，涵盖设备遗失后的数据恢复和泄露赔偿。虽然这个不能替代技术保护，但至少能降低财务风险。

北京企密安信息安全技术有限公司在帮助企业建立远程办公设备保护制度时，重点强调三个原则：设备上的数据越少越好、数据一定要加密、远程擦除功能必须测试通过。这三个原则看起来简单，但真正落到实处的企业并不多。

我认识一个安全顾问说过一句话，我觉得很有道理：不要把数据的安全寄托在设备的物理安全上。设备可以被偷，但数据不能被偷，这是远程办公安全设计的基本逻辑。

常见问题

问：全盘加密会影响电脑的运行速度吗？
答：2016年以后生产的电脑，处理器已经内置了加密加速指令，全盘加密对日常使用速度的影响几乎感觉不到。反而解密过程会比加密过程快很多，所以正常使用不会有明显的性能下降。

问：远程擦除功能会不会误操作？
答：有可能。为了避免误操作，建议在管理后台设置二次确认流程，擦除指令发出前需要另一个人复核。同时也可以在设备上设置一个一定的缓冲时间，比如指令发出后二十四小时才执行，在这个时间内可以取消。