2020 年


2020-10-29

產品經理 張峰銘

如何正確導入企業郵件 DLP 系統,你準備好了嗎?

資料外洩防護(簡稱DLP,Data Loss Prevention)解決方案,是企業資料防護最重要的基礎建設。DLP 市場發展至今已逐漸趨於成熟,在市面上有各式各樣的 DLP 解決方案,可透過網路、郵件及端點等方式防護資料洩露。其中又以郵件 DLP 系統最為廣泛,最大的原因在於郵件系統是企業對外開放的正式溝通管道,且佈署方式較為單純,可透過整合的方式滿足大型企業的需求。近幾年,金管會也要求金融相關產業導入郵件 DLP 系統,當信件被偵測到多筆個資時,就需將郵件加密再寄出,以確保客戶的隱私與權益。以下內容將分享,大型企業導入郵件 DLP 系統時應注意的觀念與實務經驗。

郵件 DLP 系統如何保護企業組織

郵件 DLP 主要解決兩種類型的威脅:

  • 意外的洩漏:因人為疏忽將資料外洩。例如,員工無意間輸入錯誤的電子郵件地址,導致重要資訊寄給不相關的收件者。儘管是無心之過,但是這樣的錯誤可能會導致企業機密洩露。郵件 DLP 可制定政策,偵測收件者網域數量,一旦偵測到多個不同網域,則將信件留置於隔離區,並通知部門主管審核信件。

  • 惡意的外洩:有心人士蓄意將組織營業機密透過電子郵件散布。這種情況最常發生在即將離職的員工或意圖販售商業機密的人身上。管理者可設定 DLP 政策,禁止員工將電子郵件發送到 Gmail、Yahoo 或 Hotmail 等免費電子郵件帳戶。此外,郵件 DLP 還須具備偵測企業機敏資訊的功能,若偵測到企業機密文件就必須即時阻攔,以防止營業機密外洩。

郵件 DLP 的技術與挑戰

郵件 DLP 政策都是由一連串複雜的規則組成,根據不同的條件(Condition)設定對應的動作(Action),包含遞送(Deliver)、留置(Quarantine)、刪除(Delete)和加密(Encryption)等,以下說明郵件 DLP 系統應具備之功能供讀者參考。


                                    圖 1. 郵件 DLP 系統支援檔案與功能

支援多種檔案格式與功能:

如圖 1 所示,郵件 DLP 系統需支援常見的檔案格式與功能,以符合各種使用情境。例如,偵測信件內文、標題、收件人數及附檔。附檔類型包含常見的 Office 文件、PDF 與壓縮檔等。此外,還需檢查附檔是否已加密,或有無偽造文件副檔名以規避檢查。

檢測技術與稽核日誌:

1. 進階的正規表示式(Advanced Regular Expression):提供彈性化的正規表示式,包含是否區分大小寫、支援多行格式、忽略空白等語法,以供管理者設定。

2. 個人識別訊息(簡稱 PII,Personal Identifiable Information)偵測引擎:提供事先定義的機敏個資樣式供管理者引用,例如:姓名、生日、身分證字號、地址及手機號碼等。

3. 關鍵字典檔(Keywords and Data Dictionary):管理者可自訂多種關鍵字典檔,並套用在 DLP 政策設定。例如,表列合作供應商的電子郵件地址,制定不同等級的政策。

4. 圖片偵測技術(Image Detection):偵測郵件中所有圖片,避免機敏資訊以圖片的形式外洩。圖片主要有以下三種狀況:內文圖片、壓縮檔內圖片及 Office 文件與 PDF 檔內嵌圖片。

5. 郵件稽核日誌(Mail Audit Log):郵件稽核日誌需詳細記錄郵件相關資訊。例如,觸發的 DLP 政策、郵件處置動作、郵件是否刪除或留置隔離區、被隔離的郵件由哪位主管放行、放行原因為何…等,以上資訊都需詳細記錄,以供管理人員事後稽查。

6. 統計報表(Statistics):報表需統計 DLP 政策觸發次數並將政策排序,管理者可每季檢視並調整 DLP 政策。報表還需列出最常觸發 DLP 政策的員工或部門,以便管理者追蹤原因並加強資安觀念的宣導。


                                                圖 2. 組織架構圖範例

企業該如何導入郵件 DLP 系統

  • 制定完整的審核流程
    企業導入郵件 DLP 系統前,必須先制定完整的審核流程,而這些流程可透過郵件 DLP 工具加以輔助。以圖 2 組織架構圖為例,一個組織單位(簡稱 OU,Organization Unit)對應到一個部門,行銷部門成員的稽核信件,就必須由同部門的主管審核後才可放行。

  • 根據部門屬性區分存取權限
    大型企業為了確保發送的信件能夠符合法律規範,通常會設立法規遵循部門,並根據法規制定郵件 DLP 政策。舉例來說,根據個資法團體訴訟規定,若有 20 人的個資遭到不當的利用將可提團體訴訟。法遵部門就會制定,當一封信件被偵測到含有 20 筆以上個資時就必須被攔截的 DLP 政策。而法遵部門的成員及主管,通常只能設定 DLP 政策,無法接觸到實體信件。而各部門主管,只能審核被留置的稽核信件,無法得知實際的 DLP 政策設定值,如此才能有效的防護。

  • 彈性化的審核權限
    大型企業會有許多的部門,在不更動人員組織架構的前提下,如何快速地佈署,對 DLP 解決方案供應商而言,是極大的挑戰。以圖 2 組織架構圖為例,最理想的狀況是每個部門成員的信件,都由該部門主管審核。但實際上,許多企業高階幹部,會兼任不同部門主管要職,如此一來,要設定審核權限,就會變得非常複雜,筆者根據大型郵件 DLP 專案經驗,歸納出以下 3 種情境:

    • 跨部門審核:部門主管互相審核彼此的稽核信件。例如,業務部門主管的稽核信,必須交由市場部門主管審核放行。
    • 指派部門成員代理審核:部門主管因公出差無法審核信件,於出差期間指派部門成員代理審核信件。例如:市場部主管指派行銷部主管(子群組管理者),在限定期間內協助審核放行稽核信件。
    • 指派特定人員審核:部門主管的信件由特定人員審核。例如:財務部門主管的稽核信件必須由總經理特助審核。
  • 針對特定使用者設置不同 DLP 政策
    郵件 DLP 政策檢查的對象,是企業的每位成員,但因應組織文化,會針對企業 VIP 成員設定不同的政策。例如,總經理的信件觸發 DLP 政策,而系統只在稽核日誌紀錄觸發原因,不將信件留置於隔離區,並在事後寄送通知信提醒總經理。

DLP 系統是工具,建立企業文化才是根本

電子郵件是企業資料外洩防護最重要的環節,嚴重的機密外洩事件,可能會對企業造成無法挽回的重大損失。然而再完善的 DLP 系統,都可能存在未知的漏洞,這些漏洞往往不在於系統本身,而在人為的因素上。許多企業誤以為導入 DLP 系統就可解決資料外洩的問題,而忽略了對員工的教育訓練與觀念的宣導。唯有培養正確的觀念,並從流程、制度面著手,一步步建立良好的企業文化,再透過 DLP 系統輔助,才能打造內外兼具的防護體系。