流動裝置管理（mobile device management，MDM）是一種軟件，讓公司在同一個管理平台登記、設定和保護員工工作用的手機、平板電腦及手提電腦。管理員可以要求設定螢幕鎖、推送應用程式和設定、檢查系統更新，並在裝置遺失或停用時遙距鎖機或清除資料。
中小企的工作電郵、客戶檔案和網上銀行，往往都放在幾部手機和電腦上。裝置遺失或員工離職時，MDM 有助公司繼續掌控上面的公司資料。
MDM 可以做甚麼
- 登記裝置：最好在交給員工前把裝置登記到公司名下，一開機便套用正確設定。
- 保安政策：強制使用密碼或生物認證鎖、裝置加密，以及自動鎖屏。
- 應用程式及設定管理：安裝或移除工作應用程式，預先設定 Wi-Fi、電郵和 VPN。
- 更新檢查：找出使用舊版系統的裝置並安排更新，屬於修補程式管理的一部分。
- 裝置清單：記錄型號、使用者和狀態。
- 遙距鎖機及清除：裝置遺失時先鎖機，無法尋回或員工離職時清除公司資料。
常見的相關名稱
名稱之間有不少重疊。流動應用程式管理（MAM）只管理工作用的應用程式及其資料，不會管理整部裝置。企業流動管理（EMM）和統一端點管理（UEM）通常是同時涵蓋手機和電腦的套件。不少雲端辦公室及身份管理平台已內置部分功能，購買前可先查看現有訂閱。
MDM 與端點偵測及回應（EDR）也不同。MDM 負責設定裝置並確保設定得到遵守；EDR 則監察裝置上的可疑活動，協助應對攻擊，兩者可以並用。
公司裝置與員工自攜裝置（BYOD）
應該管理到甚麼程度，要視乎裝置屬於誰。
- 公司擁有的裝置：通常可全面管理設定、應用程式和更新，停用時可清除整部裝置。
- 員工自己的裝置：自攜裝置（bring your own device，BYOD）存有私人相片和訊息，較適合輕度管理，例如獨立的工作設定檔或只管理工作應用程式，公司只能移除公司的資料。
在香港，個人資料私隱專員公署曾發出「自攜裝置」（BYOD）資料單張，提醒機構即使所收集的個人資料儲存在僱員自己的裝置內，仍須就該些資料遵守《個人資料（私隱）條例》，保障措施亦應尊重僱員的私人資訊。單張建議的做法包括盡量把資料留在公司系統、另設存取控制、加密、把工作資料與其他應用程式分隔，以及制定書面政策並進行風險評估。具體如何適用，請徵詢法律意見。
MDM 與其他保安措施的配合
MDM 宜與以下基本措施一同使用：
- 為電郵和雲端帳戶啟用多重身份驗證，手機或密碼單獨被盜也不足以登入。
- 以密碼管理器保管工作登入資料。
- 按角色權限管理（RBAC），令用戶和裝置只能存取所需系統。
- 採用零信任的做法，登入規則可先檢查裝置是否受管理及已更新，才批准存取。
中小企入門步驟
- 列出所有裝置：誰用哪部裝置、裝置屬於誰、上面有哪些公司資料。
- 訂立簡短的裝置政策：寫明最低要求（螢幕鎖、加密、更新）、公司能看到甚麼，以及遺失或離職時如何處理。
- 選擇合適的管理程度：公司裝置全面管理，私人裝置用工作設定檔。
- 先小規模試行：先登記幾部裝置，確認電郵和業務應用程式正常，再推展至全公司。
- 預先處理離職及遺失：把遙距鎖機和清除資料加入離職清單，以及公司的事故應變計劃。
示例情境：一位銷售經理把平板電腦遺留在的士上。由於已登記，辦公室經理幾分鐘內便鎖機並登出其電郵，其後仍未尋回，便遙距清除資料。這是假設情境，並非描述任何實際客戶。
常見問題
MDM 會看到員工的私人訊息或相片嗎？
這取決於產品、登記方式和設定。工作設定檔和應用程式層面的管理，正是為了把公司和私人資料分開。登記前應清楚告訴員工公司能看到甚麼。
小型公司真的需要 MDM 嗎？
如果員工用手機或電腦處理工作電郵、客戶資料或付款，便值得考慮裝置管理。很小的團隊可先用現有平台內置的功能。
如需協助規劃裝置政策和登入管控，可查看我們的網絡安全及合規服務。如需有約定回應時間的裝置及系統持續維護，可參考託管支援及 SLA 服務。