Sectigo 網誌
S/MIME 入門：透過 S/MIME 輕鬆實現 GDPR 合規
自 GDPR 生效以來，為包含敏感個人數據的電郵加密已被廣泛視為企業營運的最佳實務。這一點並不令人意外——歐洲的電郵與美國的電郵存在同樣的漏洞，未經加密的電郵可被多方讀取，包括企業 IT 管理員、互聯網服務供應商以及雲端電郵服務供應商。
2016年，歐盟通過了數十年來影響力最大的數據保護指令，取代了1995年最後一次更新的過時準則。自2018年5月正式實施以來，《通用數據保障條例》（GDPR）在全球範圍內帶來廣泛影響，過去數年間，各類機構一直嘗試理解該條例的內容、如何維持合規，以及自身業務營運可能受到的影響。
GDPR 目前是適用於歐盟全境的法例，希望在當地開展業務的機構需要全面理解其要求。該條例的核心目標是協調區內的數據私隱法例，保障歐盟公民的數據，並重塑區內各類機構處理數據私隱的方式。GDPR 的支持者稱其為「20年來數據私隱監管領域最重要的變革」，並指出它將「從根本上重塑醫療、金融以至更多各行各業的數據處理方式」。
這番描述讓 GDPR 的適用範圍聽起來廣得驚人——而在很多方面的確如此。這種覆蓋廣泛的數據安全要求意味著，它不像HIPAA或DFARS那樣僅適用於特定行業，任何在歐盟和歐洲經濟區境內營運的機構都必須遵守 GDPR 規定。該條例的適用範圍極廣，影響面巨大。
不過從另一個角度來看，GDPR 強制執行的規定簡單清晰。與美國其他適用範圍更小的法規類似，GDPR 僅要求所有涉及個人數據的企業 IT 流程實現「按設計及預設的數據保護」。條例規定，個人數據控制者必須採取「適當的技術及組織措施」保障數據安全——違規者將面臨高額罰款。
需要明確的是：處罰力度十分嚴厲。根據 GDPR 規定，針對數據丟失、竄改或未經授權披露的罰款金額最高可達全球年營收的4%或2000萬歐元（以較高者為準）。對任何機構而言這都是一筆巨額款項，凸顯了遵守 GDPR 規則的重要性。
那麼這意味著什麼？至少它說明電郵加密是一項非常、非常必要的措施。自 GDPR 生效以來，為包含敏感個人數據的電郵加密已被廣泛視為企業營運的最佳實務。這一點並不令人意外——歐洲的電郵與美國的電郵存在同樣的漏洞，未經加密的電郵可被多方讀取，包括企業 IT 管理員、互聯網服務供應商以及雲端電郵服務供應商。正因如此，發送包含個人敏感資料的未加密電郵，在 GDPR 框架下很大機會屬於違法行為。
不要冒這個風險。你為什麼要冒這個風險呢？S/MIME 證書技術是一種簡單有效的數據加密方式，同時可對電郵寄件人身分和電郵內容進行身分驗證。儘管 GDPR 並未明確要求使用電郵證書，但 S/MIME 是保障電郵通訊合規的最直接方式。經 S/MIME 保護的電郵從發出到被打開的整個過程始終保持加密狀態，確保其在傳輸過程中無法被讀取。這些電郵及附件儲存在電郵伺服器上時同樣保持加密，為靜態儲存的資訊新增了一層安全防護。
對於尋求簡便方法實現電郵通訊 GDPR 合規的機構而言，沒有比 S/MIME 更全面的解決方案。S/MIME 提供的端對端加密能力，為各行各業的電郵安全提供了簡單易用的實現方式。
以上為 Sectigo S/MIME 入門系列的全部內容。如果您希望了解更多關於 S/MIME 的資訊，或有具體問題需要我們解答，請瀏覽我們的S/MIME 頁面或在此處聯絡代表.
本系列往期網誌
S/MIME 入門：電郵為何存在漏洞，S/MIME 如何提供防護