员工手机丢了，公司系统怎么办

周日晚上十点，销售总监来电：手机落出租车上了，刚发现。他手机上有企业邮箱、客户管理系统的 App，还有一直没退出的内部审批页面。

这类电话接到之后的第一反应，多数人做错。丢手机的人忙着打电话给出租车公司找手机，家里人帮忙用查找功能定位，这些都没错，但都不是第一步。第一步在公司的系统侧，而且这一步做得快不快，差别是以分钟计还是以天计。

手机找不找得回来是运气，公司系统有没有被顺手翻开，是流程决定的。

前二十分钟：顺序比动作重要

捡到手机的人未必会去翻企业 App，但你要当他会的来处理。前二十分钟按固定顺序做四件事，一件都不要跳。

第一件，断会话。把这部手机上所有登录状态作废。注意作废的对象是”这台设备上的会话”，不是整个账号。账号一禁，人在外地工作全停，第二天还得重新走开通；只作废会话，捡到的人打不开任何东西，员工本人换台设备重新登录，业务照跑。这也是按设备和按人双重管理的价值：收口能收到一台机器这个精度。

第二件，改密码。会话断了，密码还是要改，因为有些系统的登录状态在断开会话后仍保留若干小时的宽限。改密码这件事要覆盖邮箱，不只是业务系统：邮箱是所有密码找回的入口，邮箱被占，别的密码形同虚设。

第三件，补挂失。通知员工本人去运营商挂失 SIM 卡。这一步只能本人办，但 IT 要催办。SIM 卡在手，验证码类的登录就还有通道。挂失前不要反复拨打那台手机，响铃会提示对方锁屏前还有时间。

第四件，查记录。从丢失时刻往前后各推一小时，看这台设备的访问记录里有没有异常：非常用地点的登录、批量下载、深夜的审批操作。绝大多数时候记录是干净的，但这一次核查就是留档，万一后续有事，时间线是完整的。

做完这四件，威胁基本闭合，人再去找手机。顺序颠倒的代价很具体：先花四十分钟联系出租车公司，回来再看系统，中间这段时间就是不设防的。

远程擦除没那么快，也没那么全

很多人以为手机管理的关键词是”远程擦除”，丢了以后一键清空完事。实际用过就知道，它有两个限制。

一是前提条件苛刻。擦除命令要发到手机上执行，设备关机、断网、或者已被恢复出厂，命令就永远到不了。出租车后座那台手机，大概率在司机换班交车前一直是锁屏加弱网状态。

二是范围有限。擦除清的是这台设备上的数据，清不掉已经发出去的邮件、已经导出的表格、已经截好的图。它是收尾动作，不是止损动作。止损靠的还是上面那张表，靠的是会话在几分钟内失效。

所以正确的定位是：会话管理管当下，擦除管万一，找回功能只当辅助。三者重要性倒着排。

为什么有的公司十分钟就能收口

同样是丢手机，有的公司 IT 要逐个系统后台去踢人，改一个系统的密码打一个电话，两个小时才弄完；有的公司十分钟内全部设备的全部会话一起失效。差别不在反应速度，在授权模型。

逐个系统各自记账的架构里，”这台手机”是个模糊概念，每个系统只认自己的账号，谁也说不清它一共登录过几个地方。而按人发号、按设备记会话的架构里，一个人、一台设备、一条访问关系是一体的，收口就是一条指令的事。员工手机上的办公入口走统一认证，离职收回、设备丢失停用、调岗改权限，用的是同一套机制。

我们的做法里，这套机制由 sTrust 承担。sTrust 是羽信安 CPE 内置的零信任模块，和组网在同一个管理台里：员工接入用同一个身份，设备、账号、访问记录三层对得上，丢手机这件事就从”救火”变成”走流程”。它的能力范围和接入方式在零信任接入这一页有列，可以对着自家系统清单看一遍。

顺带说清楚边界：零信任管的是门，进门之后的截图、拍照、另存这些动作，它不管，那一块属于终端管理的地盘。两者怎么分工，零信任管的是门不是口袋里写得更细。分不清这个边界，丢手机之后容易把力气花错地方。

丢了之后的第二天

当晚的动作是止损，第二天还有三件事要补。

第一，确认数据没外流。核对访问记录时重点看两类：大量下载和异常时间段的操作。确认干净后写一份两三行的事件记录存档：时间、设备、动作、结论。这份记录在保险、审计或者客户问起来的时候都用得上。

第二，如果手机没找回，走补卡和设备处理。员工换新机重新接入时，不要图省事把旧配置直接迁移过来，按新设备走一遍接入确认。

第三，如果手机找回了，别直接还回去。先确认中途有没有被解锁过：锁屏密码有没有试错记录、SIM 有没有拔插。拿不准的，恢复出厂再重新配置，比事后追查便宜得多。

平时要做的一件准备

上面整个流程能顺畅走完，依赖一个前提：你事先知道每台手机上有哪些企业入口。这个清单绝大多数公司拿不出来，问员工本人，答案永远是”就邮箱吧，可能还有个系统”。

准备动作不难：把公司所有需要登录的系统列一遍，标出哪些有手机端。员工入职开通账号时，手机入口跟着开几个就记几个。这份清单平时没人看，丢手机那天它就是行动地图。策略上还有一层：入口能收窄的尽量收窄，不是每个系统都需要手机能访问，能按设备类型限制的按设备类型限制。权限怎么切才不扰民，策略粒度与摩擦里有展开。

常见问题

问：员工的私人手机，公司管得着吗？
答：管的是公司入口，不是手机本身。私人手机上装了企业 App、登了企业邮箱，这些入口的登录状态公司可以作废，这不需要碰员工手机的其他内容。双方把这个边界写在 BYOD 使用说明里，比事后争执有用。

问：手机有锁屏密码，还需要这么紧张吗？
答：锁屏挡的是顺手翻看的人，挡不住有准备的。而且通知栏会露出验证码和邮件预览，锁屏状态下这条通道仍是开的。锁屏是基础，不替代收口流程。

问：员工说不清丢没丢，可能只是落在家里了，也要走流程吗？
答：走简化版。先断会话改密码这两步成本极低，找回手机后重新登录就行。等确认真丢了再动手，中间的窗口期就是风险。

问：笔记本电脑丢了同理吗？
答：流程完全一样，多两件事：笔记本上可能有本地文件，要评估有没有同步盘和本地缓存；工作网络的准入凭据也在里面，网络侧的授权也要一起收。

小结：员工手机丢了，顺序是先断会话再改密码、补挂失、查记录，远程擦除只是收尾。能几分钟收口的公司靠的不是反应快，是按人按设备记账的授权模型。平时把手机端的企业入口列成清单，丢手机那天照单执行，剩下的交给运气。