自动化 S/MIME 可消除常见支持问题，实现成本自偿

各行业的企业都将电子邮件作为不可或缺的沟通方式，支撑客户、委托方、员工、合作伙伴、供应商等各类主体的交互。由于每天都有私密、机密信息通过电子邮件传输，因此 S/MIME 这类邮件加密工具成为组织安全体系的重要组成部分，也就不足为奇了。

使用加密和数字签名仍是保障邮件通信完整性与隐私性的最佳方式。S/MIME 这类工具可帮助用户验证邮件确实来自声称的发件人，检测邮件内容或其中的任何附件是否被篡改，同时确认除预期收件人外没有其他人能读取邮件内容，让用户放心开展通信。

这些功能是防御商业邮件欺诈（BEC）的重要手段。数字证书还可帮助组织满足全球范围内的监管合规要求，例如在欧洲运营的组织必须遵守的 严格 GDPR 要求。S/MIME 是一种简洁高效的解决方案：使用 S/MIME 开展此类加密时，发件人和收件人均可继续使用现有的支持 S/MIME 的邮件应用；而其他解决方案通常要求用户使用全新的独立邮件应用，或是通过操作繁琐的网页门户完成流程，后者需要收件人点击邮件中的链接，存在安全风险。S/MIME 让邮件安全部署变得简单。它可确保邮件在发件人和收件人的邮件服务器上完成加密，构建起重要的防御层，在邮件服务器部署在云端时这一点尤为关键。

不做自动化部署的成本

尽管自动化证书管理并非 S/MIME 的强制要求，但我们强烈建议使用该功能。让员工分担证书管理工作或许能在短期内节省少量成本，但长期来看几乎必然会引发问题。一位 Sectigo 客户曾描述过放弃自动化证书管理的经历：

“我们四个月前为终端用户部署了安全邮件证书，部署过程困难重重。尽管我们为终端用户制作了分步指南，指导他们自行下载和安装证书，但还是收到了大量协助完成设置的支持请求。”

手动证书管理的高难度让这位客户选择从 Sectigo 寻求更简便的解决方案，最终将自动化证书管理和安装功能纳入其部署方案。在大多数情况下，配置这类自动化功能的成本低于单次支持服务呼叫的费用，同时还能节省员工的宝贵时间，让他们无需再手动管理自己的 S/MIME 证书。

员工生产力损失带来的成本也十分可观。举例来说，如果某律所的初级律师（向客户收费标准为 240 美元/小时）花费至少半小时计费工作时间，费力在自己的 iPhone 上安装数字证书，同时支持人员（薪酬成本为 100 美元/小时）花费同等时间为安装不完整、操作有误的问题排障，那么这家律所仅部署一张数字证书就花费了 170 美元——成本是 S/MIME 证书本身的 5 倍以上，而这本可以通过自动化方式为用户完成 S/MIME 证书配置。

规避棘手问题

没有自动化方案时，人为失误导致的信息泄露风险会急剧升高。自动化能起到什么作用？以下是手动证书管理引发的部分最常见问题，其中绝大多数（甚至全部）都可以通过有效的自动化方案解决：

• 未发布新证书。未将新证书发布到企业全局地址列表，会导致 Outlook 和 ActiveSync 移动邮件应用的发件人找不到为收件人加密所需的证书。遇到这种情况，员工要么花费大量时间研究如何发布自己的证书，要么发件人就会放弃使用加密功能。

• 未使用全局地址列表。如果不使用全局地址列表，员工需要互相发送签名邮件，发件人才能提取收件人的证书。这种方式效率很低：必须等收件人回复邮件后，发件人才能发送加密邮件，且该加密能力仅持续到收件人更新证书为止，此时发件人持有的是已过期的旧证书。一旦发现问题根源，发件人必须向所有想要通信的联系人重新发送签名邮件。

• 自助Web门户相关问题。如果没有自动化能力，每位需要S/MIME证书的员工都必须访问自助Web门户。在门户中，员工通过共享密钥完成身份验证后，需要依次点击5到10个页面，将私钥和证书下载为PKCS#12文件，再打开该文件将证书导入桌面端。之后，员工还必须手动配置Outlook，使其使用新安装的证书。

• 私钥存储不当。员工需要手动备份自己的加密私钥，这样在私钥意外损坏时，才能继续解密邮件或文件。这种方式会引发两类支持问题：
  • 员工忘记备份密钥，一旦私钥损坏，将无法访问过往邮件。
  • 员工将私钥备份在与其他数据文件混用的U盘中，私钥可能被攻击者获取，攻击者可通过暴力破解攻破私钥的加密保护，窃取私钥。

部分厂商声称提供加密密钥备份服务，但该服务需要客户在自有环境中部署，且会产生额外的隐性成本。

• 移动端安装相关问题。许多员工在配置移动设备时，难以从Outlook中导出私钥和证书。他们需要将包含私钥和证书的文件传输到移动设备，再将私钥和证书导入邮件应用，而不同邮件应用的导入流程各不相同，操作十分麻烦。即便私钥和证书已安装到移动设备上，很多员工还是难以完成邮件应用的配置，使其使用新安装的证书。

• 证书更新管理不善。证书会在1到3年后过期，员工需要在过期前为每台设备更新证书。如果未及时更新，所有邮件收件人都会收到数字签名无效的通知，干扰正常通信。更糟的是，收件人会忽略证书过期产生的错误，导致该解决方案失去作用。

• 旧邮件解密问题。证书更新后，必须使用不同的密钥访问存储在邮件服务器上的邮件。如果没有自动化能力，员工必须手动确认完整的历史密钥都可用，否则将无法解密这些旧邮件。这会导致帮助台工单增加——更严重的情况下，部分对应密钥丢失的邮件将永远无法解密。

这些问题会给用户带来困扰，也清晰体现出无效的证书管理会从哪些方面对企业通信的安全性和可靠性造成负面影响。

S/MIME是一款重要且易用的邮件加密工具，我们推出的易于部署的S/MIME方案，能让企业内大量证书的安装和更新流程比以往更简便、更具成本效益。