IT部门笔记本电脑丢失或被盗处理流程
丢失或被盗笔记本电脑的处理流程,第一步是锁定账户并强制在所有地方退出登录,然后通过设备的MDM注册触发远程锁定或远程擦除,这两步都应在收到报告后的最初几分钟内完成。为盗窃报案、通知主管、更新资产登记这些都很重要,但都排在账户和数据得到保护之后,而不是之前。顺序才是关键:一个先走文书流程而不是先远程锁定的处理流程,会毫无意义地留出一段暴露窗口。
- 在收到报告后的几分钟内锁定账户并强制退出所有会话,先于其他一切。
- 如果设备已注册MDM,立即触发远程锁定或远程擦除,不要先等报案。
- 被盗要报案,丢失记入内部事件日志,并把参考编号记录在该资产名下。
- 如果设备可能存有受监管数据或客户数据,当天就通知安全或合规团队,不要等到下次审计。
- 在登记册中把该资产标记为丢失或被盗,并撤销其软件许可证,以免重复支付席位费用,以此结案。
什么是丢失或被盗笔记本电脑处理流程?
丢失或被盗笔记本电脑处理流程是一套书面的、有固定顺序的行动步骤,在员工报告设备丢失的那一刻立即启动,这样响应就不取决于是哪位IT人员接的电话,也不取决于当天感觉有多紧急。它按固定顺序覆盖三件事:保护账户和数据,把事件通知给正确的人,以及更新资产登记,让该设备不再被当作在用设备处理。
如果没有书面顺序,自然的反应往往是先问问题,要不要报案,上面有没有敏感数据,这是谁的责任,最后才锁账户。这个顺序恰恰是反的:账户每多开一分钟,就多一分钟让别人可能读到邮件或从那台失踪设备打开VPN会话。
收到报告后的第一小时,IT应该做什么?
第一小时分三个阶段,每个阶段的时限都比看上去应有的更短:
| 时间段 | 行动 | 由谁执行 |
|---|---|---|
| 0至5分钟 | 停用账户或强制重置密码,并撤销所有活跃会话和令牌 | IT支持人员,在与员工通话时同步进行 |
| 5至20分钟 | 触发远程锁定,若没有需要保留设备原状的在办警方调查,则触发远程擦除 | IT支持人员,通过MDM执行 |
| 20至60分钟 | 通知该员工的主管,若可能涉及受监管数据或客户数据,还需通知安全或合规团队 | IT支持人员或值班负责人 |
账户锁定和远程锁定应与员工通话同步进行,而不是等对方挂断电话之后。等一份完整的事件表单填完才去处理账户,是这个时间窗口最常被错过的原因。
笔记本电脑丢失和被盗的处理流程有区别吗?
第一小时的处理在两种情况下完全一致:锁定账户,触发远程操作,通知正确的人。区别在于后续步骤。被盗的笔记本电脑需要报案,一方面是因为部分保险公司在理赔前要求提供报案编号,另一方面报案也留下了盗窃事件的法律记录。丢失的笔记本电脑通常只作为内部事件处理:记录日期、最后已知位置和该员工账户的内部日志条目,除非后来发现其中存有会触发数据泄露通知义务的数据,否则不需要报案。
这个区分还有另一层意义:一台被报告丢失后又重新出现的笔记本电脑,应该在重新投入使用前重新完成MDM注册和验证,而不是直接归还使用。一台哪怕只是短暂脱离IT掌控的设备,不应仅凭信任就恢复使用。
如何远程锁定或擦除设备?
能否远程操作取决于设备在配发时注册了什么系统,这正是为什么入库时的注册工作比设备已经丢失之后采取的任何步骤都更重要。一台注册了MDM平台的笔记本电脑,无论是配合Find My的Apple Business Manager、Microsoft Intune,还是Google的端点管理控制台,通常都可以在设备下次联网时被远程锁定或擦除,即使发出指令时设备处于关机状态也没关系;指令会排队等待,在设备下次上线时执行。苹果自己关于激活锁的说明就是一个很好的例子,说明锁定能在丢失设备被尝试恢复出厂设置后依然生效,而这正是这里真正重要的特性。
一台没有注册MDM、只依赖本地磁盘加密(BitLocker或FileVault)的设备无法被远程擦除;加密只能防止数据被读取,无法触及一台已经失联的设备。这个差距正是把MDM注册在配发时设为强制而非可选的最有力理由,下文会进一步说明。
在InventorIA中,从Microsoft Intune同步过来的设备,其资产记录上会显示“由 Intune 管理”标记,因此要判断某台笔记本电脑是否已注册,不需要再单独查一遍MDM控制台。
被盗的笔记本电脑需要报案吗?
需要,如果确实是被盗,而且报案编号应该记录在该资产的事件历史里,而不是只留在邮件往来中。有两个理由让报案值得花这个时间,即便找回的可能性不大:多数覆盖被盗设备的商业保险在处理理赔前要求提供报案编号;而一份已提交的报案,能在设备以某种具有法律意义的方式重新出现时,把内部怀疑变成有据可查的事件记录。
如果只是单纯丢失,没有被盗迹象,默认不需要报案。硬要报案通常也不会改变结果,而把每一次丢失都当作盗窃处理,只会增加文书工作,却无法在真正的风险点,也就是数据而非硬件本身,上增加任何保护。
笔记本电脑丢失或被盗,还有谁需要知道?
除了IT支持之外,还有三类人或团队与该事件有真正的利害关系,各自的理由也不同:
- 该员工的主管,这样团队就有了丢失的记录,后续的借用或换新申请也就不会显得突兀。
- 安全或合规团队,应当天通知,如果设备有可能存有受监管数据、客户记录,或对生产系统拥有长期访问权限的凭证。这起事件是否构成需要上报的数据泄露,应由他们来判断,而不是由IT决定,但他们必须及时得到通知才能做出判断。美国联邦贸易委员会的数据泄露应对指南清楚说明了为什么通知时限是从发现问题那一刻算起,而不是从确认造成损害那一刻算起。
- 财务或采购团队,一旦提出更换设备的申请,费用就能计入正确的预算科目,而不是日后变成一笔说不清来源的支出。
如何在资产登记册中完成结案?
账户被锁定并不等于事件已经结案,登记册的内容与实际情况相符才算结案。这意味着当天就要完成四项更新,而不是等到下次审计:把该设备的状态标记为丢失或被盗,而不是直接删除记录,这样它的历史依然可查;撤销或重新分配它的软件许可证,这与查找未使用SaaS许可证一文中提到的检查方式相同,避免一台失踪的笔记本电脑无限期地占着一个已付费的席位;把事件日期和参考编号记录在该资产名下;并按照与常规换新相同的生命周期政策发起换新申请,让新设备不至于成为政策之外的例外。当天就能反映这些变化的登记册,和下次审计时五分钟就能查到结果,与重新盘点整个设备群,这两者之间的差别就在于此;可以通过免费注册InventorIA账户看看这样的登记册在实际中是什么样子。
如何避免下一次发生同样的事?
下面这些措施都无法消除笔记本电脑丢失的风险,但每一项都能缩短响应窗口,或降低事件真正发生时暴露出来的东西:
- 在配发时就启用并验证全盘加密,而不是想当然地认为操作系统支持就万事大吉
- 每台笔记本电脑离开IT部门前都必须完成MDM注册,高管或外部承包商也不例外
- 屏幕锁定超时设置在五分钟以内,这样短暂无人看管的笔记本电脑不会变成一个敞开的会话
- 贴上资产标签或刻上序列号,这能实实在在地提高丢失设备被归还而非被私自留用的概率
- 制定一条固定规则,禁止把笔记本电脑明显放在停放的汽车里或托运的行李中,这两种情形都是笔记本电脑常见的丢失方式
常见问题
员工报告笔记本电脑丢失或被盗时,第一步该做什么?
在与员工通话的同时立即锁定账户并撤销活跃会话。其余的事,远程擦除、报案、更新登记册,都在同一小时内跟进,但账户永远排在第一位。
公司笔记本电脑被盗,需要报案吗?
需要。多数覆盖被盗设备的保险要求先提供报案编号才能处理理赔,而且报案能形成一份有据可查的盗窃记录。如果只是单纯丢失,没有被盗迹象,默认不需要报案。
关机状态的笔记本电脑能被远程擦除吗?
可以,前提是它已经注册了MDM平台。擦除指令会排队等待,在设备下次联网时自动执行,即使它已经关机一段时间也不影响。没有注册MDM的设备无法通过这种方式触及。
整个丢失或被盗笔记本电脑处理流程应该花多长时间?
账户锁定和远程擦除应在最初二十分钟内完成。通知相关人员以及必要时的报案,应在当天完成。资产登记册的更新同样应该当天完成,而不是等到下次审计。