偷得走，也看不懂

什麼是「加密」？把資料裝進只有您打得開的保險箱

先從一個很生活化的問題開始：如果有人偷走了您的資料，他真的「看得到」嗎？

大多數人的直覺是，資料被偷，就等於內容被看光了。但有一種技術，可以讓這件事不再成立，那就是「加密」。加密的做法，是用一套數學規則，把原本看得懂的資料，變成一堆毫無意義的亂碼。沒有「鑰匙」的人，即使拿到這堆亂碼，也只是一串看不懂的字元；只有持有正確鑰匙的人，才能把亂碼還原成原本的內容，這個還原的動作，叫做「解密」。

這也是賽門鐵克 PGP 加密產品想傳達的核心觀念：即使資料被偷走，也偷不走任何看得懂的東西。加密不能保證資料永遠不會被偷，但可以讓被偷走的資料，對偷的人幾乎沒有利用價值。

那麼，資料什麼時候需要保護呢？資安人員通常把資料分成三種狀態：放在電腦、手機、伺服器或備份裡不動的，叫做「靜態」；正在被打開、編輯的，叫做「使用中」；正在從一個地方送到另一個地方的，例如一封正在寄出的電子郵件，叫做「傳輸中」。原廠說明，賽門鐵克的加密產品組合，就是要同時保護這三種狀態的資料。

PGP 是一種歷史悠久的加密技術名稱，原廠指出，它已經有三十年以上保護敏感資料的實證經驗。本文要介紹的，就是賽門鐵克以 PGP 技術為核心的加密產品組合 Symantec PGP Encryption，以及它在企業裡實際扮演的角色。

只鎖大門還不夠：為什麼磁碟加密不是全部

很多組織已經替電腦做了「全磁碟加密」，這很好，也很重要。原廠也承認，全磁碟加密在保護遺失或遭竊的裝置上，扮演著重要的角色。但它並沒有涵蓋現代工作環境中，敏感資料被暴露的每一種途徑。

對應到電腦的世界：一旦使用者通過驗證，檔案仍然可能被複製到可移除式媒體（例如隨身碟）、透過桌面電子郵件分享，或被放在共享資料夾與雲端同步的儲存空間中，在那裡被非預期的收件者或惡意人士存取。只仰賴磁碟機加密的組織，在資料於業務流程中被使用、分享與搬移時，仍可能出現防護缺口。

要補起這些缺口，原廠認為，加密必須延伸到裝置本身之外：保護共享環境中的檔案與資料夾、在郵件離開使用者桌面之前就先保護好，並且在這些不同的使用情境中，套用集中化的政策與金鑰管理，而不是仰賴各自獨立的單點工具。

還有一個常被忽略的角落：許多組織把重心放在保護互動式的檔案傳輸或網路連線，卻讓負責搬移與產生資料的自動化作業及背景處理程序，處於幾乎沒有防護的狀態。原廠的看法是，加密必須直接嵌入處理資料的流程之中，而不是事後再外掛。

PGP Encryption Suite：替電腦、隨身碟與檔案各自上鎖

第一位保管員，負責的是以「端點」為中心的資料，也就是電腦、隨身碟，以及存放在共享位置的檔案。原廠把四項能力整合在同一套解決方案裡，並搭配集中化的金鑰與政策管理：

• 全磁碟與裝置加密：以強加密保護筆記型電腦與桌上型電腦，協助防止裝置遺失、遭竊或汰除時發生資料暴露。
• 可移除式媒體加密：自動加密寫入 USB 隨身碟及其他可移除式媒體的資料，使敏感檔案離開電腦之後，仍然受到保護。
• 桌面電子郵件加密：在郵件內容與附件離開使用者桌面之前就先保護好，提供政策式、自動或由使用者發動的彈性選項。
• 檔案與資料夾加密：對電腦上與共享位置中的特定檔案與資料夾，套用持續性加密，資料被複製之後，存取權仍然受到控管。

值得特別說明的是「持續性加密」。一般的檔案一旦被複製出去，原本的保護往往就消失了；持續性加密的概念，是把保護「附著」在檔案本身，無論檔案被複製到哪裡，存取權都仍然受到控管。

另外，原廠也強調，這套產品提供政策式、自動或由使用者發動的彈性加密選項。也就是說，加密並不是只能靠使用者自己記得去做，企業可以透過政策，讓系統自動完成。

後台的自動化作業：沒有人盯著的資料流，也要上鎖

前面幾位保管員守護的，大多是有「人」在操作的環節。但現代企業裡，還有一大批「沒有人盯著」的資料流：電腦在深夜自動把報表送給合作夥伴、把備份搬到另一台伺服器、把交易資料傳給銀行。這些作業就是前面提過的自動化工作流程，也常被稱為「批次處理」。

第三項產品 PGP Command Line Encryption，提供一種彈性、可寫成腳本的作法，透過命令列腳本，來啟用加密、解密、數位簽署與驗證。簡單說，工程師可以把「加密」這個動作，直接寫進原本就在執行的程式或排程裡，不需要人工介入。

• 可腳本化的加密與數位簽署：對單一或多個檔案進行加密、解密、簽署與驗證，協助在無須人工介入的情況下，保護批次作業。
• 與既有系統的彈性整合：可以加入 shell 腳本，以及 VB、.NET、Perl 與 Python 等常見的腳本環境，或由應用程式呼叫。
• 對傳輸中資料與靜態資料的保護：保護大量資料的傳輸，也可以保護伺服器、封存資料與備份等大量已經儲存的資料。
• 集中式或本機金鑰管理：可以在本機的「金鑰環」（本機存放金鑰的地方）管理金鑰，也可以與 Symantec Encryption Management Server 整合，進行集中管理。

原廠也強調，使用這套產品，不需要大幅改動既有的自動化腳本與批次流程。它可以加入現有的腳本，或由能執行指令並傳遞參數的應用程式呼叫，讓組織在對應用程式本身干擾最小的情況下，保護既有的服務與第三方的工作流程。

六個日常場景：行李、郵件、客戶、夜班、報表與稽核

以下六個場景，對應原廠整理的六種企業使用情境。它們都是示意情境，並非實際客戶案例，人名與細節是為了方便閱讀而設定的。

情境一．出差途中，筆電不見了

小美是遠端與混合辦公的員工，有一天她的筆電在移動途中遺失了，裡面有許多客戶資料。原廠的作法，是加密遠端與混合辦公人員所使用的筆電、桌機與可移除式媒體上的資料，讓敏感資訊在裝置遺失、遭竊，或在企業網路之外被存取時，仍然受到保護。

情境二．寄錯人的那封信

阿明急著寄出一份包含財務資料的附件，卻不小心選錯了收件人。如果企業設定了郵件加密的政策，含有財務資料、健康紀錄或智慧財產的外寄郵件，就會被自動加密，不論寄送對象是內部同事、客戶還是合作夥伴，都能降低意外暴露的風險。

情境三．與外部客戶安全地傳檔

公司需要與客戶、合作夥伴與供應商交換機敏文件，但對方並沒有安裝任何加密軟體。原廠的做法，是保護與這些第三方之間的通訊，而且不必要求對方安裝 PGP 軟體，也不用預先交換金鑰。

情境四．深夜的批次作業

每天夜裡，系統會自動在內部系統、合作夥伴與雲端服務之間，搬移大量的資料。把加密與數位簽章嵌入這些排程作業與腳本，有助於防止資料在搬移過程中被攔截或竄改。

情境五．系統自動產生的報表與備份

許多第三方應用程式或內部系統，會自動產生報表、擷取檔與日誌檔，也會把電子郵件與備份保存成封存檔。這些檔案不一定有人專門盯著，原廠建議可以自動加密這類系統產生的檔案，或對封存檔套用一次性的加密。

情境六．年度稽核與法規要求

計費、理賠處理、財務報告與紀錄交換這類大量的後台作業，涉及許多敏感資料。對這些資料套用可稽核的加密與數位簽章，原廠指出，有助於支持「Safe Harbor」的主張。

不同的人，最在意不同的事

同一套加密平台，對不同位置的人，意義並不一樣。先從一般員工說起。

加密最理想的狀態，是您幾乎感覺不到它的存在。您照常寄信、存檔、傳檔案，系統在幕後依照企業的政策自動處理；外部的收件者，也只需要用一般的瀏覽器就能讀信。偶爾若看到提示，說某封信已經被加密、需要透過網頁收件匣讀取，那不是出錯，而是系統正在替資料上鎖。

至於企業裡各個職位，原廠資料整理了他們各自最關心的問題，以及 PGP 的回應：

換句話說，對老闆而言，加密是外洩發生時「最後一道防線」；對財務長而言，是把不可預測的事後帳單，變成可以預先編列的支出；對第一線的工程師而言，則是不必重新設計流程，就能替既有的服務加上保護。

名詞小辭典，與一個不必一步到位的起點

資安與加密的名詞多半很拗口，這裡把本文出現過的重要名詞，用白話整理成一張小辭典，方便您回頭查閱。

導入不必一步到位：三個階段的起點

多數企業不會一次導入全部四項產品，而是依風險的優先順序，循序漸進。原廠建議的常見做法，大致分為三個階段：

1. 階段一．鞏固端點與檔案

   先用 PGP Encryption Suite，把端點與檔案的基本防護鞏固起來，守住電腦、隨身碟與共享資料夾裡的資料。

2. 階段二．補齊外寄郵件的缺口

   導入 PGP Gateway Email Encryption 或 PGP Encryption Service for Email，補齊外寄郵件的政策式防護缺口。

3. 階段三．納入自動化與集中治理

   再視自動化與大量資料交換的需求，導入 PGP Command Line，並把金鑰管理逐步集中到 Symantec Encryption Management Server，落實跨產品的一致治理。

這樣循序漸進的節奏，讓企業可以依自己的風險與預算，分階段投資，而不必一次採購全部的功能。