2020 年

2020-10-29

---

如何正確導入企業郵件 DLP 系統，你準備好了嗎？
產品經理 張峰銘

資料外洩防護（簡稱DLP，Data Loss Prevention）解決方案，是企業資料防護最重要的基礎建設。DLP 市場發展至今已逐漸趨於成熟，在市面上有各式各樣的 DLP 解決方案，可透過網路、郵件及端點等方式防護資料洩露。其中又以郵件 DLP 系統最為廣泛，最大的原因在於郵件系統是企業對外開放的正式溝通管道，且佈署方式較為單純，可透過整合的方式滿足大型企業的需求。近幾年，金管會也要求金融相關產業導入郵件 DLP 系統，當信件被偵測到多筆個資時，就需將郵件加密再寄出，以確保客戶的隱私與權益。以下內容將分享，大型企業導入郵件 DLP 系統時應注意的觀念與實務經驗。

郵件 DLP 系統如何保護企業組織

郵件 DLP 主要解決兩種類型的威脅：

• 意外的洩漏：因人為疏忽將資料外洩。例如，員工無意間輸入錯誤的電子郵件地址，導致重要資訊寄給不相關的收件者。儘管是無心之過，但是這樣的錯誤可能會導致企業機密洩露。郵件 DLP 可制定政策，偵測收件者網域數量，一旦偵測到多個不同網域，則將信件留置於隔離區，並通知部門主管審核信件。

• 惡意的外洩：有心人士蓄意將組織營業機密透過電子郵件散布。這種情況最常發生在即將離職的員工或意圖販售商業機密的人身上。管理者可設定 DLP 政策，禁止員工將電子郵件發送到 Gmail、Yahoo 或 Hotmail 等免費電子郵件帳戶。此外，郵件 DLP 還須具備偵測企業機敏資訊的功能，若偵測到企業機密文件就必須即時阻攔，以防止營業機密外洩。

郵件 DLP 的技術與挑戰

郵件 DLP 政策都是由一連串複雜的規則組成，根據不同的條件（Condition）設定對應的動作（Action），包含遞送（Deliver）、留置（Quarantine）、刪除（Delete）和加密（Encryption）等，以下說明郵件 DLP 系統應具備之功能供讀者參考。

                                    圖 1. 郵件 DLP 系統支援檔案與功能

支援多種檔案格式與功能：

如圖 1 所示，郵件 DLP 系統需支援常見的檔案格式與功能，以符合各種使用情境。例如，偵測信件內文、標題、收件人數及附檔。附檔類型包含常見的 Office 文件、PDF 與壓縮檔等。此外，還需檢查附檔是否已加密，或有無偽造文件副檔名以規避檢查。

檢測技術與稽核日誌：

1. 進階的正規表示式（Advanced Regular Expression）：提供彈性化的正規表示式，包含是否區分大小寫、支援多行格式、忽略空白等語法，以供管理者設定。

2. 個人識別訊息（簡稱 PII，Personal Identifiable Information）偵測引擎：提供事先定義的機敏個資樣式供管理者引用，例如：姓名、生日、身分證字號、地址及手機號碼等。

3. 關鍵字典檔（Keywords and Data Dictionary）：管理者可自訂多種關鍵字典檔，並套用在 DLP 政策設定。例如，表列合作供應商的電子郵件地址，制定不同等級的政策。

4. 圖片偵測技術（Image Detection）：偵測郵件中所有圖片，避免機敏資訊以圖片的形式外洩。圖片主要有以下三種狀況：內文圖片、壓縮檔內圖片及 Office 文件與 PDF 檔內嵌圖片。

5. 郵件稽核日誌（Mail Audit Log）：郵件稽核日誌需詳細記錄郵件相關資訊。例如，觸發的 DLP 政策、郵件處置動作、郵件是否刪除或留置隔離區、被隔離的郵件由哪位主管放行、放行原因為何…等，以上資訊都需詳細記錄，以供管理人員事後稽查。

6. 統計報表（Statistics）：報表需統計 DLP 政策觸發次數並將政策排序，管理者可每季檢視並調整 DLP 政策。報表還需列出最常觸發 DLP 政策的員工或部門，以便管理者追蹤原因並加強資安觀念的宣導。

                                                圖 2. 組織架構圖範例

企業該如何導入郵件 DLP 系統

• 制定完整的審核流程
  企業導入郵件 DLP 系統前，必須先制定完整的審核流程，而這些流程可透過郵件 DLP 工具加以輔助。以圖 2 組織架構圖為例，一個組織單位（簡稱 OU，Organization Unit）對應到一個部門，行銷部門成員的稽核信件，就必須由同部門的主管審核後才可放行。

• 根據部門屬性區分存取權限
  大型企業為了確保發送的信件能夠符合法律規範，通常會設立法規遵循部門，並根據法規制定郵件 DLP 政策。舉例來說，根據個資法團體訴訟規定，若有 20 人的個資遭到不當的利用將可提團體訴訟。法遵部門就會制定，當一封信件被偵測到含有 20 筆以上個資時就必須被攔截的 DLP 政策。而法遵部門的成員及主管，通常只能設定 DLP 政策，無法接觸到實體信件。而各部門主管，只能審核被留置的稽核信件，無法得知實際的 DLP 政策設定值，如此才能有效的防護。

• 彈性化的審核權限
  大型企業會有許多的部門，在不更動人員組織架構的前提下，如何快速地佈署，對 DLP 解決方案供應商而言，是極大的挑戰。以圖 2 組織架構圖為例，最理想的狀況是每個部門成員的信件，都由該部門主管審核。但實際上，許多企業高階幹部，會兼任不同部門主管要職，如此一來，要設定審核權限，就會變得非常複雜，筆者根據大型郵件 DLP 專案經驗，歸納出以下 3 種情境：

  • 跨部門審核：部門主管互相審核彼此的稽核信件。例如，業務部門主管的稽核信，必須交由市場部門主管審核放行。
  • 指派部門成員代理審核：部門主管因公出差無法審核信件，於出差期間指派部門成員代理審核信件。例如：市場部主管指派行銷部主管（子群組管理者），在限定期間內協助審核放行稽核信件。
  • 指派特定人員審核：部門主管的信件由特定人員審核。例如：財務部門主管的稽核信件必須由總經理特助審核。

• 針對特定使用者設置不同 DLP 政策
  郵件 DLP 政策檢查的對象，是企業的每位成員，但因應組織文化，會針對企業 VIP 成員設定不同的政策。例如，總經理的信件觸發 DLP 政策，而系統只在稽核日誌紀錄觸發原因，不將信件留置於隔離區，並在事後寄送通知信提醒總經理。

DLP 系統是工具，建立企業文化才是根本

電子郵件是企業資料外洩防護最重要的環節，嚴重的機密外洩事件，可能會對企業造成無法挽回的重大損失。然而再完善的 DLP 系統，都可能存在未知的漏洞，這些漏洞往往不在於系統本身，而在人為的因素上。許多企業誤以為導入 DLP 系統就可解決資料外洩的問題，而忽略了對員工的教育訓練與觀念的宣導。唯有培養正確的觀念，並從流程、制度面著手，一步步建立良好的企業文化，再透過 DLP 系統輔助，才能打造內外兼具的防護體系。