处置公司笔记本电脑，重点在硬盘；处置公司手机或平板，重点在账户。目前的 iPhone、iPad 和 Android 设备都会加密存储空间，所以擦除数据反而是最容易的一步。更麻烦的是设备仍然绑定的各种对象：您的移动设备管理（MDM）系统、Apple Business Manager 或 Android 零接触注册（zero-touch enrollment）、Apple 账户或 Google 账户，还有一条电话线路。步骤顺序错了，要么得到一台没人能用的设备，要么下一位用户开机的那一天，它就自动重新注册回您的管理系统。

开始之前：准备好相应的权限

公司设备上的每一道锁，都只能用本公司自己的凭据来解除，没有任何正当的捷径可走。请先备齐以下几项：

  • 一个 MDM 管理员账户（Intune、Jamf、Google 或其他），并具有擦除和停用设备的权限。
  • 一个 Apple Business Manager 账户，其角色可以关闭激活锁并释放设备；另外还需要 Android 零接触门户的所有者或管理员登录信息。
  • 运营商企业账户的访问权限。
  • 设备的锁屏密码，在员工交还设备时收集。

如果这些权限已经丢失，恢复起来会很慢：Apple 关于激活锁的支持文章，对能提供购买凭证的所有者提供提交支持请求的途径，并告诉企业所有设备的使用者联系其 IT 部门；对于被出厂重置保护锁定、且没有启用企业保护的公司 Android 设备，Google 的建议是联系设备制造商。请妥善保管购买记录。

第 1 步：确定每台设备的去向

旧公司手机的处理方式归结起来有四种：重新分配、出售、回收或销毁。选择之前，请先确认这台设备或其使用者是否处于法律保全（legal hold）或未决纠纷之中；如果是，在擦除任何数据之前先咨询您的律师。

第 2 步：保存企业仍然需要的内容

电子邮件、文件和聊天记录通常已经在云端。容易被遗漏的是：

  • 登录验证方式。在 Microsoft Entra ID 或 Google Workspace 中，把旧手机从该用户的多重身份验证方式里移除。
  • 短信验证码。如果银行、工资系统或供应商把一次性验证码发送到这个号码，请在线路注销之前改到其他号码上。
  • 为工作拍摄的照片和笔记，但从未上传到共享文件夹的那些。

第 3 步：选择正确的 MDM 操作

Microsoft Intune 提供三种容易混淆的操作，而 Intune 擦除与停用的选择，是必须做对的一环：

  • 擦除（Wipe）会执行出厂重置，删除所有数据、应用和设置。这是针对公司所有设备的操作。对于带 eSIM 的 iPhone 和 iPad，Microsoft 说明默认会保留蜂窝套餐，除非您选择将其移除。
  • 停用（Retire）会移除公司应用、数据、邮件配置文件和设置，而保留个人数据。这是针对员工自有手机的正确操作：企业不应该对不属于自己的手机执行出厂重置。
  • 删除（Delete）会立即把设备从控制台中移除，对 Apple 和 Windows 设备来说，同时还会触发一次停用。

Microsoft 的文档还指出，在 Zebra 加固型扫描枪上，Intune 擦除只会删除公司数据，并不会对设备进行出厂重置；这需要使用制造商自己的工具。

第 4 步：从 Apple Business Manager 中释放 Apple 设备

  1. 在 Apple Business Manager 中关闭该设备的激活锁。
  2. 从组织中释放它。Apple 提醒，释放是永久性的，从那一刻起 Apple Business Manager 将不再控制激活锁。Apple 也建议，不要释放要送到 Apple 维修的设备。
  3. 擦除设备，可以通过 MDM，也可以在设备上直接操作。

对于受监管（supervised）的设备，MDM 中还保存着激活锁绕过码。Apple 建议在更换 MDM 服务商之前，先取得这些代码的副本，或者先让激活锁被清除。

第 5 步：释放 Android 设备并清除出厂重置保护

通过零接触注册购买的设备，需要由所有者或管理员在零接触门户中注销，按 IMEI 或序列号查找即可。Google 说明，以后若要重新注册该设备，需要通过经销商办理。出厂重置保护是另一个陷阱：如果 Android 手机在仍登录着 Google 账户时被重置，设置过程中会要求输入该账户，因此请在重置之前先移除 Google 账户。在公司所有的完全托管设备上，企业出厂重置保护可以让您指定哪些 Google 账户能够解锁重置后的设备。

恢复出厂设置，还是安全擦除？

在目前的设备上，规范的重置本质上就是一次加密擦除。Apple 的平台安全指南说明，擦除设备会删除保护数据的密钥，使所有用户数据在加密意义上无法访问；而 Android 要求搭载 Android 10 或更高版本发布的设备使用基于文件的加密。重置不会清除存储卡，不会取出 SIM 卡，不会把设备从管理中释放，也帮不了无法开机的设备；这些设备以及非常老旧的型号，应当交给物理销毁。每次擦除之后，请检查设备能够启动到第一个设置界面，不会要求输入账户，并且已经从您的各个管理控制台中消失。

SIM 卡、eSIM 和电话线路

取出实体 SIM 卡并删除 eSIM 配置文件；对于要出售的设备，Apple 自己的建议是把 eSIM 与设备一起擦除。电话号码属于公司在运营商处的账户，而不是设备本身，因此请逐条线路决定是注销、保留还是转出。

鼓包的电池和损坏的设备

鼓包的锂离子电池可能起火。请不要给设备充电，不要挤压它，也不要试图撬出电池，并将它与其他设备和易燃物品分开存放。联邦危险品法规（49 CFR 173.185(f)）对损坏或有缺陷的锂电池规定了特殊的包装要求，所以鼓包的手机绝不能放进普通的回寄信封。在加州，废弃电池按危险废物管理，不能扔进垃圾桶。

退役设备可以去哪里

  • 重新分配：擦除并重新注册之后再次使用。
  • 转售或以旧换新：适用于状态良好的较新型号，且须在解锁之后。
  • 零售商回收。根据加州 2004 年的《手机回收法》（Cell Phone Recycling Act of 2004），销售手机的商店必须接收旧手机用于再利用或回收。这适合处理少量手机，但对于企业手机回收来说，它不会为每台设备提供记录。
  • 电子垃圾回收商：处理其余的所有设备。

请记录每台设备的 IMEI 或序列号、最后的使用者、做了什么处理、何时处理，以及最终去向。

常见问题：公司手机恢复出厂设置

可以对公司手机恢复出厂设置吗？

可以，但仅仅重置是不够的。请先把公司所有的设备从 MDM 以及 Apple Business Manager 或零接触注册中释放，清除激活锁或出厂重置保护，然后再擦除。对于员工自有手机，请使用停用操作，它只会移除公司数据。

如何从 Apple Business Manager 中移除设备？

由角色权限允许的管理员选中该设备，如果开启了激活锁就先关闭，然后选择“从组织中释放”（Release from Organization）。释放无法撤销，之后必须擦除设备。

员工离职后可以保留公司手机吗？

可以，但应当把它当作公司财产的转让来处理。先把手机从 MDM 以及 Apple Business Manager 或零接触注册中释放，擦除之后，让员工用自己的账户把它当作新设备来设置。

在长滩（Long Beach）、港区或南湾（South Bay）一带，抽屉里堆着一批要处置的公司手机、平板或扫描枪？我们的公司手机和平板回收页面介绍了处理流程，安全数据销毁涵盖了存储卡等仅靠重置还不够的存储介质，而我们的Intune 和 Jamf 设备管理服务可以为替换的设备做好设置。请告诉我们您大约有多少部手机和平板，以及由哪种 MDM 管理，我们就可以和您的管理员一起规划释放步骤。