移动设备管理（mobile device management，MDM）是一类软件，企业可以通过一个管理后台，统一注册、配置和保护员工办公用的手机、平板和笔记本电脑。管理员能要求设置锁屏、下发应用和配置、查看系统更新，并在设备丢失或停用时远程锁定或擦除数据。
中小企业的工作邮箱、客户文件和网银，常常就在几部手机和电脑上。设备丢了或员工离职时，MDM 能帮企业继续管住上面的公司数据。
MDM 能做什么
- 设备注册：最好在交给员工前注册到公司名下，开机即套用正确配置。
- 安全策略：强制设置密码或生物识别锁，开启设备加密和自动锁屏。
- 应用与配置管理：安装、更新或卸载办公应用，预先配置 Wi-Fi、邮箱和 VPN。
- 更新检查：找出用旧版系统的设备并安排升级，属于补丁管理的一环。
- 资产清单：记录型号、使用人和状态。
- 远程锁定与擦除：丢失时先锁定，找不回或员工离职时擦除公司数据。
容易混淆的几个名称
这些叫法有不少重叠。移动应用管理（MAM）只管办公应用及其数据，不管整台设备。企业移动管理（EMM）和统一终端管理（UEM）一般指同时覆盖手机和电脑的套件。很多云办公和身份管理平台已自带部分功能，采购前可先看看现有订阅。
MDM 和终端检测与响应（EDR）也不是一回事。MDM 负责设备怎么配置、配置是否落实；EDR 负责发现可疑活动并协助处置攻击，两者可以并用。
公司设备与员工自带设备（BYOD）
管到什么程度，要看设备归谁所有。
- 公司设备：一般可全面管理配置、应用和更新，退役时整机擦除。
- 员工自己的设备：自带设备（bring your own device，BYOD）里有个人照片和聊天记录，更适合轻量管理，比如单独的工作资料（工作空间）或只管办公应用，企业只能删除公司的数据。
在香港，个人资料私隐专员公署发布过“自携装置”（BYOD）资料单张，提醒机构：即使所收集的个人资料存放在雇员自己的设备上，仍须就这些资料遵守《个人资料（私隐）条例》，保护措施也应尊重雇员的私人信息。单张建议的做法包括尽量把数据留在公司系统、另设访问控制、加密、把工作数据与其他应用隔离，以及制定书面政策并做风险评估。具体如何适用，请咨询法律顾问。
MDM 与其他安全措施的配合
MDM 最好和下面这些基础措施一起用：
- 为邮箱和云账户开启多重身份验证，手机或密码单独被盗时，对方也登录不了。
- 用密码管理器保管工作账号的登录信息。
- 按照RBAC 角色权限管理，让用户和设备只能访问所需系统。
- 采用零信任思路，登录规则可以先检查设备是否受管、是否已更新，再决定是否放行。
中小企业落地步骤
- 盘点设备：谁用哪台设备、设备归谁、上面有哪些公司数据。
- 写一份简短的设备政策：列明最低要求（锁屏、加密、更新）、公司能看到什么，以及丢失或离职时怎么处理。
- 确定管理力度：公司设备全面管理，个人设备用工作资料或只管应用。
- 先小范围试点：先注册几台设备，确认邮箱和业务应用正常，再推广到全公司。
- 提前安排离职与丢失处理：把远程锁定和擦除写进离职清单和事件响应计划。
示例场景：一位销售经理把平板落在了出租车上。因为已经注册，行政经理几分钟内就锁定设备并让其邮箱退出登录，后来没找回，便远程擦除了数据。这是假设场景，并非描述任何具体客户。
常见问题
MDM 能看到员工的私人消息或照片吗？
这要看产品、注册方式和配置。工作资料和应用层面的管理，正是为了把公司和个人数据分开。注册前应向员工讲清楚公司能看到什么。
小公司真的需要 MDM 吗？
只要员工用手机或电脑处理工作邮件、客户数据或付款，就值得考虑设备管理。很小的团队可先用现有平台自带的功能。
如需协助规划设备政策和登录管控，可查看我们的网络安全及合规服务。如需有约定响应时间的设备与系统持续运维，可参考托管支持及 SLA 服务。