小企业 BYOD 安全政策：一份实用模板

BYOD 政策模板能让小企业在问题逼着你面对之前，而不是之后，就员工在工作中使用个人手机的规则达成一致。它规定安全底线、访问限制、擦除同意书、费用，以及有人离职时怎么办。

想象一部落在出租车上的手机，客户的收件箱还开着。没有书面规定，接下来的一个小时就会变成一场关于隐私和信任的争论，而不是一套流程：公司能不能把它擦除，连照片一起？本指南在手机丢失之前就划好这条界线。

什么是 BYOD 政策，以及小团队为什么现在就需要

自带设备（BYOD）政策是一份书面约定，说明员工可以如何使用自己的手机办公，以及公司可以在这些手机上做什么。

如果你的员工已经在自己的手机上收看工作邮件、聊天消息和登录验证码，那么这份政策是迟到了，而不是太早。趁第一部手机丢失之前，把规则定下来。

BYOD 安全政策同时保护两样东西：公司的数据，以及员工在同一台设备上的私人生活。拖着不做是可以理解的：它可能给人不信任的感觉。清晰的政策恰恰相反，因为它先说明公司不会碰什么。

Expert Opinion

“

手机规定含糊不清时，读起来就像不信任。当它写明公司不会查看什么，人们在签字之前就能看到那条界线。

编辑部虚构人设： Victoria Bryan 是项目认可的虚构专家形象，不是经独立核实的真实人物。本指导由编辑团队撰写并核实事实；不是逐字的访谈引述。

有些岗位更适合配发公司手机；这一选择就是下面的第四种做法。如果手机里存有健康记录或其他受监管的数据，那么在这份政策之外还适用行业规定，请向你的监管机构咨询。

决定其余一切的问题是：为了手机上的数据，你需要对一部个人手机有多大程度的控制。弄清手机里有什么之后，保护这些数据的四种方式就从最轻到最重依次排开。

保护个人手机上公司数据的 4 种方式

四种做法从管控最少到管控最多，每种都附有结论：“可行”是指在员工书面同意的范围内，手机丢失或员工离职时，公司数据仍受保护。做法 2 和 3 就是大家熟悉的 MDM 还是 MAM 之问：移动应用管理（MAM）管工作应用，移动设备管理（MDM）管整部手机。它们也可以组合使用，例如在个人手机上采用应用级管控，同时为某个岗位配发公司手机。

1. 书面规则与手机自带的安全功能

保护什么： 书面规则设定预期，并依靠手机自带的安全功能。目前的 iPhone 和 Android 手机已经具备屏幕锁、自动更新、由密码保护的设备加密，以及机主自己通过 iPhone 上的“查找”或 Android 上的 Find Hub 进行的远程擦除。

对员工的要求： 不安装任何管理软件。员工保留密码，保持更新开启，并在手机丢失时上报。

原因： 书面规则是一种约定，而不是一种管控。我们认为，它是最小团队诚实的起点，而不是较差的选择。

结论： 适合手机里只有工作邮件和聊天的少数几个人，前提是你相信他们会遵守；我们认为，一旦手机里有客户或支付数据，这就不够了。

2. 应用级管控：工作资料与应用保护

保护什么： 仅限工作应用及其数据。在 Android 上，工作资料会把工作应用和数据放在手机上一个独立的空间里。应用保护政策（MAM）可以要求设置 PIN，并在有人离职或丢失手机时只移除工作数据。在 iPhone 上，User Enrollment 把受管的工作数据与个人数据分开。

对员工的要求： 使用工作应用，在 Android 上还要使用工作资料。管理员看不到个人应用、照片或消息。

原因： 应用级管控把界线划在公司数据周围，而不是整台设备。这是 MDM 还是 MAM 之问中偏向 MAM 的一边。

结论： 我们认为，对大多数个人手机来说，这是一个明智的起点：它保护工作数据，并让手机的其余部分不受打扰。

3. 个人手机上的完整设备管理

保护什么： 整台设备，前提是平台允许。在采用 Device Enrollment 的 iPhone 上，MDM 可以强制设置密码和更新，并擦除整部手机。在 Android 上，个人手机通过工作资料来管理；完整管理适用于公司拥有的手机。

对员工的要求： 把整部手机登记进来。管理员能看到设备详情，并且视平台和工具设置而定，能看到已安装应用的列表。Apple 和 Microsoft 表示，管理员无法看到个人手机的位置；厂商表示，管理员无法读取个人邮件、照片或消息。

原因： 我们认为，完整设备管理是为公司设备打造的工具，却被用在员工自己花钱买的手机上。

结论： 当手机上的数据不能丢失时，给这个人配发公司手机，而不是完整管理一部个人手机。如果你仍要保留这种做法，请仅在员工签署确认书、且在任何整机擦除之前取得单独的擦除同意书的情况下使用。

4. 为需要完全管控的岗位配发公司手机

保护什么： 整台设备，公司可以完全管理，因为它归公司所有。它也带来体面的交接，因为手机会被归还，并且工作与私人生活之间有一条清晰的界线。

对员工的要求： 多带一部手机，或者只把公司手机用于工作。

结论： 把它用于手机里有客户数据或需要完全管控的岗位；其他人仍采用应用级管控。

在公司拥有的 Android 手机上，企业可以使用 Hoverwatch 这样的监控软件（由本博客的发布方开发），它会记录通话、短信和手机位置，前提是员工事先已获书面告知并已确认知悉。

该厂商并未将其描述为 MDM 或 MAM，其可接受使用政策也禁止在个人手机上使用，即使取得同意也不行；更广泛的选择请参阅我们的指南：如何为公司设备选择监控软件。

四种做法逐项对比，以及哪一种适合你

下面一览四种做法：

做法	保护什么	对员工的要求
1. 书面规则与手机自带的安全功能	员工自己的屏幕锁、更新和远程擦除	设置密码、保持更新、手机丢失时上报
2. 应用级管控（工作资料、MAM）	工作应用及其数据，可单独移除	使用工作应用；个人应用保持不可见
3. 个人手机上的完整设备管理（MDM）	平台允许时保护整台设备；可以整机擦除	在签署确认书的前提下登记整部手机；只有取得擦除同意书才可整机擦除
4. 公司手机	整台设备，公司可以完全管理；体面交接	多带一部手机

我们认为，按情况来选：

• 

  情形 1

  只有寥寥几人，仅用工作邮件和聊天：书面规则与手机自带的安全功能。

• 

  情形 2

  手机上有客户文件或共享账号：应用级管控。

• 

  情形 3

  某个岗位的手机里有不能丢失的数据：为该岗位配发公司手机，而不是完整管理一部个人手机。

• 

  情形 4

  远程或混合办公的员工：划分方式相同；工具方面请参阅我们的指南：远程员工监控软件与个人设备。

我们认为，无论选哪种做法，只有写成文字并签署才站得住脚；下面就是文本。

BYOD 政策模板：可直接复制的四个部分

下面的示例条款分为四个部分。复制它们，替换方括号中的字段，例如 [公司名称]、[政策负责人] 和 [日期]，并删去你没有采用的做法所对应的条款；条款 2.6、3.1 和 3.5 用方括号标明了每一行属于哪种做法。

在任何人签字之前，请人按你所在的州审阅最终文本；它是一个起点，不是法律意见。

第 1 部分：适用范围、合规设备与安全底线

[公司名称]个人设备政策，自 [日期] 起生效。在本政策中，“公司”指 [公司名称]，“您”指员工。

1.1 目的和范围。 本政策适用于您用来访问 [公司名称] 的邮件、聊天、文件或账号的个人手机和平板电脑。它不涉及您设备上的其他任何内容。

1.2 参与。 使用个人设备办公是自愿的。公司向任何不愿这样做的人提供 [一部公司手机 / 仅限台式电脑的访问方式]。

1.3 合规设备。 您的设备必须仍能从制造商处获得安全更新。不允许使用已越狱或已获取 root 权限的设备。

1.4 安全底线。 开启带密码或生物识别的屏幕锁，保持自动更新开启，并在工作账号上使用多重身份验证。只从官方应用商店安装应用。

1.5 设备丢失或被盗。 设备丢失或被盗后，请在 [24] 小时内向 [政策负责人] 报告。

1.6 向谁咨询。 有关本政策的问题，请通过 [联系方式] 联系 [政策负责人]。

这些条款的缘由：这些底线是设置和规则，不是管理软件。多重身份验证可以使用验证器应用或硬件安全密钥，所以 1.4 不会强迫任何人在手机上装工作应用。

第 2 部分：公司能访问什么，不会访问什么

2.1 公司能访问什么。 公司只能访问您的工作账号和工作数据，以及其工具默认显示的设备详情（例如型号、操作系统版本以及是否设置了密码，某些工具还会显示序列号或手机号码的一部分）。在完整设备管理下，公司还可以看到 2.6 中列出的内容。

2.2 公司不会访问什么。 公司不会查看您的个人邮件、消息、照片、联系人、浏览记录，也不会查看您个人应用的内容。

2.3 不使用监控或定位软件。 公司不会在依据本政策登记的个人设备上安装监控或位置追踪软件，也不会使用您设备的位置数据。

2.4 不索取个人密码。 公司绝不会索要您个人设备的密码，也不会索要您个人账号的密码。

2.5 工具发生变化时。 在公司能在您的设备上访问的内容发生任何变化之前，公司会书面通知您。

2.6 工具管理什么 [如果您使用应用级管控：] 公司只管理工作应用。

2.6 [如果您使用完整设备管理：] 公司可以看到 2.1 中列出的设备详情，以及 [已安装应用的列表（如果其工具会收集）]，并且在其设置中已关闭位置上报。公司只能依据条款 3.3 擦除整台设备。

这一部分为什么重要：我们认为，先说明您不会查看什么，才能让一份政策成为人们愿意签署的文件。有几个州还禁止雇主要求访问员工的个人在线账号，条款 2.4 对此予以遵守。

Expert Opinion

“

在任何人签字之前，打开你所用工具的管理控制台，核实它实际收集了什么。如果它显示的内容比条款 2.1 承诺的更多，就关闭这些设置，或者改写条款。

编辑部虚构人设： Benjamin Yates 是项目认可的虚构专家形象，不是经独立核实的真实人物。本指导由编辑团队撰写并核实事实；不是逐字的访谈引述。

工具能看到什么，取决于所采用的做法。应用级管控只到受管的工作应用；完整设备管理还会触及设备详情，以及（在工具会收集的情况下）已安装应用的列表。

第 3 部分：手机丢失、远程擦除与离开公司

3.1 设备丢失或被盗 [如果您使用应用级管控或完整设备管理：] 在按 1.5 报告之后，公司会从设备上移除其工作数据和访问权限。

3.1 [如果您只使用书面规则：] 在按 1.5 报告之后，公司会切断对您工作账号的访问；您必须移除工作账号，也可以自行决定是否擦除设备，并以书面形式确认已移除。

3.2 先做选择性移除。 凡是其工具允许的地方，公司只移除工作账号和工作数据，不移除您的个人数据。

3.3 只有另行同意才可整机擦除。 只有在您签署了协议中单独的擦除同意书时，公司才会擦除您的整台设备。除非设备丢失或被盗，公司会在擦除前通知您。

3.4 自行备份您的数据。 备份个人数据由您自己负责；对于您已同意的擦除中丢失的个人数据，公司不承担责任。

3.5 离开公司。 在您的最后一天，您从设备上移除工作账号和工作应用，如您同意，可由 [政策负责人] 在场。离职后，您的保密义务继续有效。

这一部分的缘由：选择性移除能保住员工的照片，所以整机擦除需要在下面的表格上另行签字。

第 4 部分：费用与非工作时间的工作

4.1 谁来付费。 公司向使用个人手机办公的员工支付 [每月 [金额] 的补贴 / 应要求承担您话费账单的一部分]。

4.2 各州规定（给您的说明；请从副本中删除）。 包括加利福尼亚州在内的一些州要求雇主报销工作开支；在加利福尼亚州，这包括用于工作的个人手机账单中的合理份额。根据联邦法律，雇主要求员工承担的工作成本，不得使其报酬低于最低工资。

4.3 损坏和维修。 您的设备仍属您所有，维修费用由您承担，除非 [公司名称] 书面同意另作安排 [或您所在的州要求公司支付]。

4.4 非工作时间的工作。 除非您正在值班，否则不要求您在自己的工作时间之外阅读或回复工作消息。如果您按小时计酬，您处理工作消息所花的时间属于工作时间，并且计酬。

对于免于加班费规定的领薪员工，薪酬规则有所不同，所以请询问审阅这份政策的人，4.4 如何适用于他们。

这一部分的缘由：金钱和晚间时间是员工最先问到的问题，把它们写下来能尽早平息争论。不过，政策仍需要签名，下面的表格就是用来收集签名的。

BYOD 协议：签名与擦除同意书表格

确认。 我已阅读 [公司名称] 日期为 [日期] 的个人设备政策，并同意遵守[，包括依据条款 2.6 登记我的设备]。

员工姓名：[姓名]；设备（品牌和型号）：[设备]；日期：[日期]；签名：[签名]

公司代表：[姓名]；签名：[签名]；日期：[日期]

员工保留一份副本；表格可以电子方式签署。没有签署擦除同意书的员工，在公司的工具支持时，仍然适用 3.2 的选择性移除，也可以选择 1.2 中的替代方案。文本和表格准备好之后，下一个问题是：针对你选定的做法要开启什么，以及要花多少钱。

要开启什么：小团队的工具与价格

先问一个问题：你团队的邮箱是用 Microsoft 365、Google Workspace，还是两者都不是？你的套餐决定了哪些功能已经包含在内；只有当套餐没有列出你需要的设置，或者你两者都没有时，才需要购买。“要开启什么”指的是要查找的设置名称，而不是控制台里的操作步骤。

如果两个平台都没有，并且为某个岗位配发了公司手机（做法 4），工具就是针对公司自有手机的设备管理服务。Miradore 就是一个例子：其套餐页面列出了一个 Free 套餐，试用 14 天后最多支持 50 台设备，其功能表中该套餐的 Lock 和 Wipe 已勾选。这类服务适用于公司拥有的手机，而不是个人手机。

你的情况	要开启什么	厂商列出的套餐、价格和计费周期，按事实核查日期查验
任何团队，不需要额外工具	屏幕锁、更新，以及每位员工用来擦除丢失手机的“查找”（iPhone）或 Find Hub（Android）。	手机自带。
使用 Microsoft 365 或 Google Workspace 的邮箱（做法 2）	Microsoft：Intune 应用保护政策（请检查你的套餐）。Google：基本移动管理；Android 工作资料需用高级管理。	Microsoft 365 Business Premium 含 Teams（包含 Intune P1）：$22.00 每用户/月，按年付费。单独的 Intune P1：$8.00 每用户/月，按年付费。Google Workspace Business Plus：年度套餐（一年承诺期）每用户 $22.00/月，按月计费，不含税。
两者都不是，并且为某个岗位配发公司手机（做法 4）	面向公司手机的设备管理服务，例如带锁定和擦除功能的 Miradore。	Miradore Free：试用 14 天后最多 50 台设备。付费套餐：按设备计费，请见套餐页面。

Microsoft 和 Google 按用户计价，Miradore 按设备计价，所以这些数字不具可比性。价格会变动；这些价格是在 2026 年 10 月 22 日从厂商页面读取的。

知道要开启什么，也就知道可以省掉什么。

哪些地方不必花时间和金钱

这七点是我们的看法，来自上面各节：

• 

  提示 1

  在个人手机上装监控软件：模板排除了这一点（条款 2.3），而且它并不保护手机上的公司数据。

• 

  提示 2

  完整管理一部个人手机：如果公司手机是更干净的答案，就配发一部；整机擦除个人手机，连员工的照片也会一并带走。

• 

  提示 3

  再加一个管理控制台：先检查你的套餐已经包含了什么。Microsoft 365 Business Premium 包含 Intune P1，Google Workspace Business Plus 列出了高级移动管理。页面没有列出这项设置的套餐，例如 Microsoft 365 Business Standard，或 Google Workspace Business Starter 或 Standard，需要先加购附加项或换套餐。

• 

  提示 4

  没人签署的政策：它只是一份通知，而不是双方都同意的约定；表格可以电子方式签署。

• 

  提示 5

  工作邮件留在个人手机上：有人领到公司手机时，当天就把工作账号从他的个人手机上移除。

• 

  提示 6

  用监控软件代替政策：它记录的是公司手机上的活动；它不为个人手机制定规则，所以不能代替书面政策。

• 

  提示 7

  指望政策包办一切：没有任何政策能追回已从手机上复制出去的数据，也不能代替针对你所在州的法律审查，更不能单靠自己满足受监管数据的行业规定。

做好选择之后，落地只需要一周。

一周内在小企业推行 BYOD 政策

对小团队来说，每天一步就够了：

之后： 我们认为，每年审阅一次这份政策，或者在工具发生变化时审阅。

下面的问题依据员工和 IT 人员在公开论坛上提出的内容，并从企业角度作答。

常见问题：员工和管理者都在问什么

• 小企业可以要求员工用自己的手机办公吗，例如为了一个登录应用？ +

  往往可以：在“at will”（随意雇佣）制下，私营雇主可以基于任何合法理由终止雇佣，但报销和合理安排的义务仍然适用。有些州要求雇主报销工作开支，加利福尼亚州要求承担个人手机账单中的合理份额；需要因残障获得合理安排的员工，可能需要另一种登录方式。
  
  硬件安全密钥或公司手机可以避免争议：员工无需在个人手机上装工作应用即可登录。这也是模板在条款 1.2 中把使用个人设备设为自愿的原因。如果你仍然要求，就从第一天起付费。

• 一名员工宁愿领一部公司设备，也不愿在个人手机上装我们的安全软件。我们该允许吗？ +
• 管理者可以要求在工作中翻看员工的个人手机吗？ +
• 一名员工多年来一直在没有补贴的情况下用个人手机办公。过去的我们要补吗？ +
• 员工离职时，我们能收回已同步到其个人手机上的工作邮件吗？ +

本文所有信息仅供参考，不构成法律意见。