新闻
MDM.Plus通过ISO/IEC 27001信息安全管理体系与ISO/IEC 27701隐私信息管理体系认证
以体系化管理守护信息安全与隐私，为设备租赁及企业移动终端管理提供可信保障
近日，MDM.Plus顺利通过信息安全管理体系与隐私信息管理体系认证。
公司建立的信息安全管理体系符合：
GB/T 22080-2025 / ISO/IEC 27001:2022《网络安全技术 信息安全管理体系 要求》
同时，公司建立的隐私信息管理体系符合：
ISO/IEC 27701:2019
隐私信息管理体系认证范围为：
与计算机应用软件运维相关的隐私信息管理活动。
此次通过相关管理体系认证，标志着MDM.Plus在信息安全风险管理、隐私信息保护、软件研发与运维、人员权限控制、安全事件响应、供应商管理和持续改进等方面，建立了更加系统化、规范化的管理机制。
对于设备租赁、分期服务、企业终端管理等高度依赖远程设备管理能力的行业而言，信息安全与隐私保护不仅关系到系统稳定运行，也直接关系到设备资产安全、客户权益和企业经营风险。
信息安全不能只依靠技术功能
随着企业数字化程度不断提高，智能手机、平板电脑及其他移动终端，已经成为企业经营和客户服务的重要载体。
这些设备可能承载客户资料、业务订单、企业应用、身份凭证、工作文件和其他重要信息。企业移动设备管理平台则通常具备设备注册、策略下发、应用安装、权限限制、设备状态管理和远程运维等能力。
这意味着，移动设备管理平台自身需要具备较高的信息安全和内部管理要求。
企业在选择设备管理服务商时，不应只关注功能数量、部署速度和采购价格，还需要评估服务商是否建立了完善的安全制度，是否能够规范管理后台权限、客户数据、研发发布、运维操作和安全事件。
真正可靠的安全能力，既来自技术，也来自持续运行的管理体系。
ISO/IEC 27001：建立系统化的信息安全管理机制
ISO/IEC 27001是国际通行的信息安全管理体系标准。
该标准并不局限于防火墙、加密、漏洞修复等单一技术措施，而是要求组织从人员、制度、流程、系统和信息资产等多个方面，对信息安全风险进行持续识别、评估、处置和改进。
围绕信息安全管理体系要求，MDM.Plus持续完善以下管理机制：
信息资产识别、分类和责任管理；
信息安全风险识别、评估与处置；
账号、身份和访问权限管理；
软件需求、研发、测试、发布及变更管理；
生产系统、数据库和网络环境安全管理；
日志记录、操作审计和异常行为追踪；
数据备份、故障恢复和业务连续性管理；
信息安全事件发现、报告、分析和处置；
员工入职、在职和离职过程中的权限管理；
供应商及第三方服务安全管理；
内部审核、管理评审和持续改进。
通过体系化建设，信息安全不再只是某个技术人员或某个部门的责任，而是融入产品研发、系统运维、客户服务和企业经营的全过程。
ISO/IEC 27701：规范隐私信息处理活动
ISO/IEC 27701是在信息安全管理体系基础上建立的隐私信息管理体系标准。
该标准重点关注个人信息及其他隐私信息在收集、使用、存储、传输、访问、共享和删除等环节中的管理要求，帮助组织明确隐私信息处理过程中的职责、边界和控制措施。
MDM.Plus本次隐私信息管理体系认证范围为：
与计算机应用软件运维相关的隐私信息管理活动。
围绕这一认证范围，公司进一步梳理了软件运维过程中涉及的信息处理场景，并对相关岗位职责、访问权限、操作流程和风险控制要求进行规范。
相关管理措施包括：
识别和记录隐私信息处理活动；
明确信息处理目的、范围和责任；
根据岗位职责分配系统访问权限；
限制非必要的信息访问和使用；
加强信息存储和传输过程管理；
规范日志、备份及运维数据的处理；
加强供应商和第三方服务管理；
建立隐私事件发现、报告和处置机制；
定期开展信息安全与隐私保护培训；
通过内部审核和管理评审持续优化管理措施。
在设备租赁行业，信息安全认证为什么尤为重要
设备租赁行业具有明显区别于普通软件服务的业务特征。
在租赁过程中，设备的所有权通常归属于租赁企业，而设备的实际使用权则由客户或终端使用者持有。大量设备分散在不同地区和不同用户手中，并可能经历交付、使用、续租、逾期、回收、维修、数据清理和再次出租等多个环节。
这种资产所有权与实际使用权分离的特点，使设备租赁企业在资产管理、远程运维、隐私保护和权限控制方面面临更复杂的要求。
1. 租赁设备通常需要长期远程管理
租赁设备交付后，企业无法像管理办公室内部设备一样进行现场维护。
设备注册、策略调整、应用分发、系统限制、故障处理和状态管理，往往需要通过远程管理平台完成。
远程管理能力越强，对平台安全和内部权限管理的要求就越高。
企业需要确认：
哪些人员能够管理租赁设备；
哪些操作需要审批或授权；
重要操作是否保留记录；
是否能够追踪操作人员、操作时间和操作对象；
员工岗位变化或离职后，权限能否及时调整或回收；
是否建立异常操作发现和处置机制。
通过信息安全管理体系建设，可以帮助服务商将高权限操作纳入制度化管理，降低因权限不清、操作失误或内部管理不到位产生的风险。
2. 设备所有权和使用者隐私需要同时得到保护
租赁企业需要保护自有设备资产，但设备在租赁期间也可能承载使用者的账号信息、应用数据、通信记录和其他个人信息。
因此，设备管理不能只强调资产控制，也需要明确数据处理和隐私保护边界。
服务商需要在设备资产管理和使用者隐私之间建立合理的管理规则，包括：
明确需要采集哪些设备信息；
明确信息采集和使用目的；
限制与租赁服务无关的信息访问；
根据实际业务需要配置管理权限；
对可能涉及个人信息的操作进行规范；
对运维人员访问行为进行记录和审计；
在设备回收、转租或服务结束时，规范处理相关数据。
ISO/IEC 27701隐私信息管理体系能够为相关活动提供更加系统的管理框架，帮助企业进一步明确隐私信息处理责任和控制要求。
3. 设备回收和再次出租需要规范的数据处理流程
租赁设备通常会被多次循环使用。
一台设备结束上一段租赁关系后，可能经过回收、检测、维修、数据处理和重新配置，再交付给下一位使用者。
如果设备生命周期管理不规范，可能出现上一位使用者的数据未被妥善处理、账号未解除、应用配置残留或设备状态无法确认等问题。
因此，设备租赁服务商需要建立相应流程，对以下环节进行规范管理：
设备退租和回收登记；
设备身份与资产信息核验；
企业配置、管理策略和账号状态检查；
设备数据处理和恢复流程；
维修人员及运维人员权限管理；
设备重新入库和再次交付前检查；
相关操作记录和责任追踪。
体系化的信息安全和隐私管理机制，有助于提升设备全生命周期管理的规范性和可追溯性。
4. 多客户、多组织管理需要严格的数据隔离
设备租赁平台通常需要同时服务多家企业、多个门店、多个代理商或多个业务组织。
不同客户之间的设备、账号、订单、策略和运维数据，需要保持清晰的权限边界。
企业在选择服务商时，应重点关注：
不同客户的数据是否相互隔离；
管理员是否只能访问其授权范围内的设备；
总部、区域、门店等不同角色是否实施分级授权；
客服和运维人员是否按照岗位需要访问数据；
是否具备日志审计和异常访问追踪能力；
客户停止合作后，账号和权限是否能够及时关闭。
如果缺少体系化的权限和租户隔离管理，随着设备数量和客户数量增加，管理风险也可能随之扩大。
5. 设备逾期和资产风险处置需要明确管理边界
在租赁和分期业务中，可能存在设备逾期、合同终止、设备遗失或资产无法回收等情况。
相关设备管理措施应依据合同约定、客户授权和适用规则实施，并通过规范流程控制操作权限和执行范围。
企业需要关注服务商是否能够：
对相关操作设置明确权限；
对高风险操作保留完整记录；
根据业务状态和授权条件执行管理策略；
防止未经授权的人员随意操作设备；
对异常操作进行发现、调查和处置；
在设备状态恢复正常后及时调整相应策略。
信息安全管理体系可以帮助企业将相关能力纳入审批、授权、审计和责任管理流程，避免远程管理功能被随意使用或错误使用。
6. 大规模设备运营更依赖标准化流程
当企业只管理少量设备时，部分工作可能依靠人工经验完成。
但当设备规模扩大到数千台、数万台甚至更多时，仅依靠个人经验难以保证操作一致性和管理质量。
大规模设备租赁业务需要建立标准化流程，包括：
设备注册和交付流程；
策略配置和变更流程；
应用发布和升级流程；
故障处理和客户支持流程；
设备回收和再利用流程；
权限审批和操作审计流程；
安全事件响应和复盘流程。
通过相关管理体系认证的服务商，通常需要将这些管理活动制度化，并通过内部审核、风险评估和持续改进确保体系长期运行。
7. 有助于租赁企业应对客户和合作伙伴审查
设备租赁企业的客户可能包括金融机构、连锁零售企业、制造企业、教育机构、物流企业和其他对数据安全具有较高要求的组织。
这些客户在选择租赁服务时，往往不仅关注设备价格和交付能力，也会关注：
设备管理平台是否可靠；
客户数据如何被处理；
运维人员如何访问系统；
是否具备信息安全认证；
是否建立隐私保护机制；
出现安全事件后如何响应；
服务商是否能够配合安全审计和供应商评估。
选择通过ISO/IEC 27001和ISO/IEC 27701相关认证的平台，可以为租赁企业开展客户沟通、项目投标、供应商审查和合规评估提供重要支持。
为什么应优先选择通过相关认证的服务商
对于企业客户而言，相关认证不能简单等同于“绝对安全”，也不能替代对具体产品功能和技术架构的评估。
但认证能够说明服务商已经按照明确标准建立相应的管理体系，并接受第三方机构审核，是评估服务商安全管理成熟度的重要参考。
安全管理更少依赖个人经验
通过体系化建设，关键工作需要按照制度和流程执行，降低因人员变动、职责不清或操作随意造成的风险。
高权限操作受到规范管理
移动设备管理平台具有较高的设备管理权限。成熟的管理体系会更加重视权限分配、审批、审计和离职权限回收。
研发和系统变更更加可控
服务商需要对需求、开发、测试、发布、变更和回滚等环节建立管理机制，减少未经验证的修改直接进入生产环境。
发生事件时具备明确响应流程
相比临时处理，制度化的事件报告、影响评估、应急处置、恢复和复盘机制，更有助于控制事件影响。
隐私信息处理边界更加清晰
服务商需要对隐私信息处理活动进行识别和管理，明确处理目的、范围、权限和责任。
更有利于客户开展供应商审查
认证信息可以为企业采购审批、客户尽职调查、项目投标和内部审计提供参考，降低重复沟通成本。
管理体系要求持续改进
认证不是一次性检查。服务商还需要持续开展风险评估、内部审核、管理评审和纠正改进。
选择设备租赁管理服务商时，应重点考察什么
企业在选择服务商时，建议综合评估以下方面：
认证主体是否与实际提供服务的公司一致；
认证范围是否覆盖所采购的产品或服务；
证书是否在有效期内；
是否建立多租户和分级权限管理机制；
高权限操作是否具备审批和审计能力；
是否规范管理研发、发布和生产环境变更；
是否具备数据备份、故障恢复和业务连续性机制；
是否能够说明设备信息和个人信息的处理范围；
是否建立设备退租、回收和再次交付流程；
是否具备安全与隐私事件响应机制；
是否能够配合客户开展安全评估和审计。
企业不应只看一张证书，也不应只看产品功能列表，而应结合认证范围、管理制度、技术能力和实际服务场景进行综合判断。
将安全与隐私保护融入产品服务全过程
作为企业移动设备管理服务提供商，MDM.Plus为设备租赁企业及其他企业客户提供设备注册、策略配置、应用管理、设备状态管理和自动化设备运维等服务。
在产品和服务过程中，MDM.Plus持续将信息安全与隐私保护要求融入以下环节：
产品需求评估；
软件设计和开发；
功能测试和安全验证；
系统部署和版本发布；
服务器及数据库运维；
客户账号和权限管理；
多组织和多租户管理；
日志审计和异常监测；
客户服务和问题处理；
供应商及第三方服务管理；
安全事件响应和持续改进。
通过相关管理体系建设，公司能够进一步提升内部管理流程的规范性、透明度和可追溯性，为客户提供更加稳定、可靠的服务基础。
认证不是终点，而是持续改进的新起点
信息安全和隐私保护是一项长期工作。
获得认证并不意味着风险完全消失，也不代表任何系统能够达到绝对安全，而是说明公司已经按照相关标准建立管理体系，并将持续接受体系运行和改进要求的约束。
未来，MDM.Plus将继续结合设备租赁行业的发展、移动终端技术变化和客户实际需求，持续开展风险评估、内部审核、人员培训、管理评审和安全能力建设。
公司将不断完善产品研发、平台运维、权限管理、数据保护、设备生命周期管理和事件响应机制，为设备租赁企业及其他企业客户提供更加规范、可靠和值得信赖的移动设备管理服务。
每一台设备都代表着企业的重要资产，每一次管理操作都关系到客户权益，每一份信息都承载着客户的信任。
MDM.Plus将以此次认证为新的起点，坚持将信息安全与隐私保护贯穿产品和服务全过程，帮助设备租赁企业构建更加安全、可控、高效的设备管理体系。
关于MDM.Plus
MDM.Plus专注于企业移动设备管理服务，为设备租赁企业及其他企业客户提供设备注册、策略配置、应用管理、设备状态管理和自动化管理能力，帮助企业提高移动设备管理效率，强化设备资产管理，构建更加规范、安全和可控的移动设备管理体系。
认证信息
信息安全管理体系认证
认证项目：信息安全管理体系认证
认证依据：GB/T 22080-2025 / ISO/IEC 27001:2022
标准名称：《网络安全技术 信息安全管理体系 要求》
认证机构：奥鹏认证有限公司
隐私信息管理体系认证
认证依据：ISO/IEC 27701:2019
认证范围：与计算机应用软件运维相关的隐私信息管理活动
证书所载机构：皇冠认证检验（湖南）有限公司
具体认证主体、认证范围、证书状态和有效期，以正式认证证书及相关认证机构公布的信息为准。
