对于希望使用 S/MIME 邮件证书的企业而言，自动化为何至关重要

加密与数字签名是保障邮件通信完整性与私密性的最佳方式，其优势包括：

• 可确认邮件确系发件人发出，同时可识别发件人所代表的组织身份
• 可验证邮件内容及附件在发送后未被篡改
• 由于邮件仅针对发件人和收件人加密，可确保邮件在服务器存储及传输过程中不会被第三方读取

这些能力可抵御商业邮件诈骗（BEC，商业邮件诈骗）等鱼叉式钓鱼攻击，并助力企业满足GDPR、HIPAA、美国国防部DFARS等一系列全球重要合规要求。

使用 S/MIME 进行加密时，发件人与收件人均可在自身已有的、支持 S/MIME 功能的邮件应用中完成操作，沿用熟悉的使用流程。替代方案通常需要使用独立邮件应用或网页端，用户体验存在差异。

部分企业为节约成本，倾向于在不部署自动化证书管理的情况下使用 S/MIME，要求员工分担证书管理工作。例如，Sectigo 曾收到一位客户的反馈，该客户当时正尝试采用S/MIME 邮件证书:

“典型的手动管理模式：“我们四个月前为终端用户部署了安全邮件证书，但部署过程遇到了很多困难。尽管我们为终端用户制作了逐步操作指南，指导他们自行下载并安装证书，但仍然收到了大量设置相关的支持请求。我们是否可以切换为零接触或低接触流程，以简化证书管理和安装流程？”?”

自动化的投入具备很高的性价比：其成本低于支持工单带来的预期开销，也低于员工手动管理 S/MIME 证书造成的生产力损失；更可以避免最严重的后果——员工因流程繁琐放弃使用证书，进而引发合规问题。

产生支持工单的常见原因包括：

• 若员工未将新证书发布至企业全局地址列表，使用 Outlook 和 ActiveSync 移动邮件应用的发件人将无法找到为收件人加密所需的证书。这种情况下，员工要么花费大量时间研究如何发布证书，要么发件人会直接放弃使用加密功能。
• 若不使用全局地址列表，员工需要互相发送签名邮件，发件人才能从签名邮件中提取收件人的证书。这种方式效率极低：用户必须先收到收件人的签名邮件，才能向对方发送加密邮件。而当收件人续订证书后，发件人本地保存的仍是已过期的旧证书。如果相关人员意识到自己正在明文发送邮件信息，新证书的持有者还需要重新向所有希望接收其加密邮件的联系人发送签名邮件，再次完成整个流程。
• 在无自动化的情况下，每位需要 S/MIME 证书的员工都必须访问自助网页门户，通过共享密钥完成身份验证，依次点击5至10个页面，下载包含私钥和证书的 PKCS#12 文件，再打开该文件将证书导入桌面端。Outlook 用户后续还需要手动配置程序，使其使用新安装的证书。
• 每位员工都需要手动备份加密私钥，以便在私钥意外损坏时进行恢复。否则，使用该私钥加密的历史邮件和附件将无法解密。这类支持问题主要分为两种情况：
  • 员工忘记备份私钥，当私钥损坏时，历史邮件将无法访问。
  • 员工将私钥与其他数据文件一同备份在 USB 驱动器中，私钥可能因此暴露给攻击者，攻击者可通过暴力破解突破私钥的加密保护，窃取私钥。
• 如需在移动设备上完成配置，员工必须费力从 Outlook 中导出私钥和证书，再将包含私钥和证书的文件传输到移动设备。文件传输完成后，员工还需要将私钥和证书导入邮件应用——而不同邮件应用支持的导入方法繁多且复杂，这一过程往往会产生大量服务台求助工单。
• 私钥和证书在移动设备上安装完成后，员工还需要摸索如何配置邮件应用以使用新安装的证书。这一环节通常也会导致员工拨打服务台求助电话。
• 证书会在1到3年后到期，员工必须掌握相应操作方法，在到期前为多台设备完成证书续期，否则所有收件人都会收到数字签名无效的提示。
• 证书续期后，邮件服务器中来自该发件人的邮件将使用不同的密钥。如果没有自动化机制，员工需要手动确保完整的密钥历史记录可用，否则部分邮件将无法解密。

企业无需再依赖员工分担证书安装或续期的工作负担。我们的 S/MIME 证书现已正式推出，其带来的价值远高于手动管理的麻烦（及风险）。