你的公司给每个一线员工配了平板，策略管得死死的——设备要合规、系统要打补丁、连个壁纸都不让人随便换。IT部门每周出报告，一片绿勾，感觉一切尽在掌握。这种安全感在桌面上是成立的，但手机和平板上，底下有个柜子正悄悄往外渗水。

那个柜子叫“应用层”。做策略的Jamf副总裁迈克尔·科文顿说他经常看到一种错觉：企业把桌面端那套管控流程直接搬到移动端，以为够用了。桌面软件世界里，权限模型稳定，想改点什么可以在沙盒里测完再推到生产环境，一切都可预测。可移动应用完全是另一套玩法——更新走好几个应用商店分发，临时补丁是家常便饭，更麻烦的是，安不安装更新，最终决定权还是握在用户手里。你要管几千台设备上的应用生命周期，靠的是猜，不是管。

打开网易新闻 查看精彩图片

Jamf自己的研究也印证了这一点：工作用的移动设备里，超过一半跑的操作系统带着已知漏洞，补丁早就发布了，但就是没打上。连设备层的基线都守成这样，就更别提上面的应用层了。问题不在于设备合规、系统补丁、端点控制这些事不该做，而在于做完了就觉得够了。科文顿的观察很直接：移动安全早就不只是保护设备，你得搞清楚设备上面跑着的应用和工作流到底在和数据发生什么关系。

真正让人心里发毛的，是应用版本的碎片化。哪怕你把设备层管得规规矩矩，应用层也能轻易瓦解你的安全感。同一个时间点，你的机群里同一个应用可能存着好几个版本，有些是新版刚推送就被用户点了“稍后”，有些是自动更新被关掉还在用三个月前的旧版，有些甚至是从第三方应用商店侧载进来的。IT团队往往连哪些应用在跑、哪些版本在用都不知道，更不用说它们是怎么和敏感数据互动的。看不见的东西，你拿什么保护？

科文顿的意思很清楚：企业现在必须把视线从设备层往上一层挪。不是让你扔掉现有的管控手段，而是得承认它们不完整。移动机群的安全水位，不取决于你管得最严的那台设备，而取决于应用层最乱的那个角落。那个没人盯着的柜子，早就该打开看看了。