企業電郵安全：電郵加密的方法與重要性

電郵加密的運作原理

電郵加密採用基於公鑰基礎設施（PKI）技術的密鑰對，提供安全且可擴展的認證與加密方案。支撐 PKI 的核心技術是非對稱密碼（公鑰密碼學），這是一種依賴一對關聯加密密鑰（公鑰和私鑰）的加密機制：兩個密鑰配合使用，完成訊息的加密與解密。公鑰由一串隨機數字組成，可用於加密訊息；加密後的訊息只能由預期接收方使用對應的私鑰解密讀取，私鑰同樣是一長串隨機數字。私鑰屬於私密密鑰，必須僅由接收方本人持有。密鑰對存在數學關聯，使用公鑰或私鑰加密的內容，只能透過與之對應的另一密鑰解密。

加密方案選項

用戶可按所需的安全等級選擇多種方案。值得一提的是，這類電郵加密軟件解決方案大多不受所用電郵服務商限制。

• 安全性最高的電郵加密方式是安全/多用途互聯網郵件擴展（S/MIME）證書。S/MIME 證書基於 PKI 技術保護電郵：透過對電郵進行數碼簽署，驗證發件人身份；同時對傳輸過程中、以及儲存在電郵伺服器上的內容和附件進行加密。S/MIME 已預置在大多數 Microsoft Windows、iOS、Android 裝置中，亦适配 Gmail、Office 365、Apple Mail 等主流網頁端電郵服務。
• 如果選擇 PGP/MIME（Pretty Good Privacy/Multipurpose Internet Mail Extensions）方案，可採用一種設計用於保護純文本內容的去中心化加密方式。該方案讓用戶對電郵加密擁有更高控制權，但需要使用第三方工具。
• 使用傳輸層安全（TLS）可以加密通訊通道，但訊息本身不會被加密。這意味著一旦訊息進入收件人的收件匣，加密過程便不再受你控制。
• 還有其他可實現端對端加密的電郵加密服務，例如 ProtonMail 或 hushmail。但使用這類安全電郵服務時，發件人與收件人必須使用同一第三方域名（例如雙方電郵均為 @hushmail.com）。由於客戶使用的電郵服務各有不同，這一限制為不少企業帶來了應用難題。

如何使用 S/MIME 證書加密電郵訊息

顯而易見，IT 專業人員必須重新思考電郵通訊與系統的安全防護策略。要真正抵禦當前複雜攻擊對訊息的威脅，企業需要一套完整的安全方案，為所有員工和設備提供數碼身份的加密與認證能力。

S/MIME 證書憑藉多項高級安全特性，讓用戶可以信任自身的數碼通訊，抵禦當前大量針對企業電郵用戶及基礎設施的攻擊，是企業完整電郵安全策略中不可或缺的組成部分。

這類證書主要從三個層面提升電郵通訊的安全水平：

• 發件人身份認證。每張證書都包含經認證的發件人電郵地址，透過顯示對勾標識來確認發件人身份真實、電郵未被篡改，為收件人提供驗證機制，確認所有通訊確實來自授權方。
• 內容與附件加密。收發電郵的客戶端使用證書對內容（含附件）進行加密和解密，防止攻擊者截獲傳輸中的通訊內容，亦防止攻擊者讀取伺服器上儲存的內容。
• 完整性保障。如果經簽署的電郵或其附件發生任何形式的篡改，驗證將無法通過，電郵客戶端會向用戶發出警告。

S/MIME 證書可保護員工防範魚叉式網絡釣魚攻擊，即便在員工使用智能手機及流動裝置存取電郵的場景下亦能生效。透過對訊息和附件進行加解密、驗證發件人身份，這類證書可向用戶確認電郵來源真實、內容未被篡改。

如何在 Gmail 中發送加密電郵

Gmail 電郵服務分為三個版本：基礎版（Basic）、商業版（Business）及企業版（Enterprise）。根據網站，所有這些場景均會使用伺服器到伺服器的TLS加密。託管S/MIME加密僅對企業版 用戶（G Suite Enterprise 以及 G Suite Enterprise for Education）開放。

在G Suite Google管理控制台中，管理員會將您的數碼證書安裝到Google伺服器以啟用S/MIME。完成後您可按照以下步驟加密電郵並添加數碼簽署：

1. 撰寫電郵，填寫收件人電郵地址、郵件內容，並添加所需附件。
2. 點擊右上角抄送（cc）、密送（bcc）選項旁邊的鎖形圖標。
3. 點擊「查看詳情」確認收件人是否支援加密；您亦可在此處更改S/MIME設定。
4. 點擊「設定」。
5. 選擇「增強加密（附數碼簽署）」，點擊「確定」。
6. 點擊「發送」。

Google在Gmail中會以顏色代碼直觀標示不同級別的電郵加密狀態：

• 綠色——S/MIME加密正在保護信息安全；只有對應密鑰可解密郵件內容。
• 灰色——傳輸層安全（TLS）正在保護您的郵件，但僅限發件人與收件人均支援TLS時，通訊才是安全的。
• 紅色——該郵件沒有加密安全保障。紅色——此郵件未經加密。

如何在Microsoft Outlook中發送加密電郵

在Microsoft Outlook中加密郵件以發送安全訊息的操作簡單。安裝S/MIME數碼證書後，您可按照以下步驟加密Outlook外發郵件：

1. 撰寫電郵，填寫郵件內容並添加所需附件。
2. 在「選項」索引標籤中，選擇以三個點標識的「更多命令」。
3. 選擇「訊息選項」功能表項目
4. 點擊「安全設定」按鈕
5. 勾選「加密郵件內容和附件」。
6. 點擊「確定」，隨後即可發送加密後的電郵。

如要為所有Outlook郵件配置S/MIME加密，請完成以下步驟：

1. 安裝您的S/MIME數碼證書。為此，您需要向機構管理員團隊取得證書或數碼ID。您亦可透過數碼證書管理平台自動完成安裝，例如Sectigo Certificate Manager.
2. 接下來打開「檔案」功能表，選擇「選項」。
3. 在「選項」功能表中選擇「信任中心」功能表項目。
4. 隨後點擊「信任中心設定」按鈕，選擇「電郵安全」功能表項目。
5. 現在您可透過S/MIME設定，勾選「加密外寄郵件的內容及附件」，為所有電郵啟用加密。

請務必注意：若收件人未啟用 S/MIME，可能無法讀取您的電郵。只需取消勾選「加密此郵件 (S/MIME)」即可關閉加密功能。

如何在 Apple iOS 上加密電子郵件

S/MIME 是 iOS 裝置（包括 Apple iPhone）的內置功能。iOS 會使用裝置的全域通訊清單，識別您所屬環境中持有有效 S/MIME 數碼證書的聯絡人。要在 iOS 裝置上啟用 S/MIME 支援，請按照以下步驟操作：

1. 在「進階設定」中，開啟 S/MIME 開關。
2. 將「預設加密」選項設定為是。
3. 撰寫新郵件時，查看收件人欄位附近的鎖形圖示：如果鎖為藍色，表示該郵件可加密；如果鎖為紅色，表示收件人需要開啟自身的 S/MIME 設定。
4. 隨後點擊該鎖形圖示，即可加密電郵內容。

注意：如果鎖為藍色，表示該郵件可加密；如果鎖為紅色，表示收件人需要開啟自身的 S/MIME 設定。

避開常見誤區

即使已部署加密措施，仍存在不少可能導致企業電郵暴露於惡意攻擊者的風險隱患。為避免這些問題，請遵循以下電郵安全最佳實務：

• 加密電郵時，應對所有電郵啟用加密，而非只加密包含敏感資訊的郵件。如果僅加密部分電郵，等於直接向黑客指出核心訊息的位置。儘管破解加密並非易事，但黑客只需攻破少量電郵即可獲取有價值的數據，無須費力篩選成百上千封大多毫無價值的郵件。自動安裝 S/MIME 數碼證書的優勢在於，員工將預設發送加密電郵，無須逐封判斷哪些郵件需要加密、哪些可以不加密。
• 為確保全公司範圍的電郵加密正確落實，需確保所有員工執行統一規則。應制定並傳達電郵使用規範：當統一的企業標準適用於全體員工時，加密的效果最佳，用戶接受度也最高。
• 另一項同樣適用於通用數據保護的安全提示是：電腦無人看管時必須恆常鎖定。這聽起來是常識，但哪怕只是短暫離開而未鎖定電腦，都可能引發安全風險。除密碼保護外，企業還應制定相關制度，要求員工每次離開電腦時都鎖定螢幕。

如何自動化部署 S/MIME 數碼證書

傳統的 S/MIME 解決方案要求終端用戶自行主動從公共證書頒發機構（CA）獲取受信任證書，並安裝到自身系統上。但對一般企業員工而言，手動頒發及配置這些證書的步驟難度頗高。由於未安裝證書時電郵客戶端仍可正常使用，可能出現員工不遵守企業 S/MIME 部署規範的情況。

與傳統 S/MIME 證書部署方式不同，Sectigo Zero-Touch S/MIME 的設計對用戶透明。這種模式能實現廣泛的員工覆蓋：IT 人員可無縫為員工部署及維護電郵證書，無須員工執行任何操作。透過管理控制台實現證書頒發和配置的自動化，可降低不合規風險，同時簡化大量電腦和流動裝置上的部署流程，減少服務台工單數量。

Sectigo 會為單個用戶頒發一張證書，該證書可部署到該員工使用的多部裝置上，包括其桌上型電腦/筆記本電腦、平板電腦或流動裝置。此外，證書可透過 Microsoft Intune、Apple 等 MDM 平台派發到流動裝置。

電郵加密的重要性

透過電子郵件發起的網絡攻擊和數據外洩事件頻繁見諸報道。遺憾的是，電子郵件所依託的協議和基礎設施已有數十年歷史，而我們保護電郵身份、內容和系統的方式大多並未發生本質變化。郵件和附件可能被竊聽、竄改或偽造，進而引發各類攻擊（例如惡意代碼注入），最終導致數據外洩，造成資金損失、公司機密外洩、信用卡號或其他客戶機密資料外泄。隨着流動裝置使用增多、面對面溝通減少，攻擊者比以往更容易利用員工層面的漏洞和薄弱的電郵安全防護措施實施攻擊。IT 團隊長久以來一直採用基礎安全措施來保護用戶和敏感數據，但這些網絡安全措施的效果已不如從前。

這類事件為企業帶來的損失十分高昂。據美國聯邦調查局（FBI）報告，2018 年僅商業電郵詐騙一項就為企業造成了 12 億美元的經濟損失，較前一年增長 78%。此外，備受關注的電郵外洩事件還會損害品牌形象，導致高層被免職。2015 年，索尼公司的電子郵件庫被黑客泄露，未上映電影的完整版本和內部敏感對話被公開，其 CEO 因此被迫辭職；2016 年，美國民主黨全國委員會伺服器上的未加密內容暴露在外，惡意分子可輕易獲取。

安全防護不足不僅會令機構面臨攻擊和數據外洩風險，還可能讓企業陷入違反監管規定的危險境地。為防範商業電子郵件入侵和資訊竊取漏洞，HIPAA/HITECH、GDPR以及美國聯邦政府DFARS等法規明確了需要使用電子郵件加密來減輕或最小化外洩後果的場景與用例。未滿足合規要求可能導致高額罰款。例如，歐盟近期針對GDPR相關違規對Google處以5000萬歐元罰款，對萬豪處以9900萬英鎊罰款，對英國航空處以1.83億英鎊罰款。此外，GDPR規定罰款金額不僅取決於單次數據外洩的規模，還與過失程度相關。因此，在電子郵件系統中部署S/MIME證書等可靠安全解決方案，不僅有助於降低數據外洩本身的風險，還能在發生外洩時減少罰款金額。

如需進一步了解電子郵件加密的重要性，以及深入了解S/MIME證書的自動化部署方式，請下載《使用S/MIME以數碼證書保護企業電郵》白皮書。