企業評估加密系統應注意的七件事 檔案加密

數位版權管理（Digital Rights Management，DRM）檔案加密系統，是眾多資料保護技術當中的一種，用來保護數位資料不被任何人 所隨意使用，並可根據使用者身分，對於受到產品保護的重要資料，給予不同的存取權限，再及加上浮水印的版權訊息，就很適合保護 具有流動性質的機密檔案。

一般而言，DRM是主從式架構的檔案加密產品，因此需要架設管理伺服器，搭配安裝在電腦上的用戶端程式，才能加密檔案，及管理 存取權限。企業評估時，應先注意以下幾件事，以免產品實際導入之後，才發現不敷使用。

(1)加密方式

檔案加密方式主要分為5種：第一種是使用者編輯儲存檔案即自動加密；第二種是針對使用者自行建立檔案加密；第三種是透過即時 監控工具加密檔案伺服器目錄裡的檔案；第四種是透過ProxyServer連接企業後台系統(如ERP,CRM,PLM,PDM...等等)達到使用者下載加密。 第五種是讓企業自行開發的系統可配合程式開發流程呼叫加密系統API套件加密檔案。

(2)解密方式

密文檔的使用在企業內一般是不需要解密的，因為用戶端上線時會自動連線至加密政策伺服器取得該使用者是否有權限開啟密文檔。 但企業會因業務的需求要解密檔案，加密系統一般會提供4種解密方式：第一種使用者在不用連線環境下可以自行解密，優點是對使用者 方便但對企業來說風險較高；第二種是使用者申請解密，由主管(或代理人)審核，優點是解密有管制但需有人審核的等待時間；第三種 是使用者申請解密系統自動代審、解密檔案備查，優點是無需等待時間又可留軌跡稽核，適合企業導入第一年的使用；第四種是解密API 套件，配合企業自行開發程式來解密。

(3)對外協力廠商流通方式

通常企業是不太願意將檔案解密提供明文檔給協力廠商，因為明文檔就是把控制權完全丟出去，沒辦法控制拿到的人作任何事，所以 加密系統會提供2種方式讓企業對外流通檔案：第一種是在協力廠商的電腦上也安裝用戶端程式並提供給每一個協力廠商不同的權限憑證 檔，讓不同協力廠商有不同的開啟權限，優點是企業資料不用解密但協力廠商需安裝用戶端程式；第二種是將檔案轉成對外流通檔並使 用免安裝閱讀器開啟流通檔，並可限制開啟的次數、有效時間、開啟密碼，以及開啟權限到期後可自動刪除，避免機密文件被協力廠商 外流。

(4)效能與高可用性

因為使用者需裝用戶端程式，所以企業需考量是不是會造成使用者的電腦過大負擔，用戶端會不會裝了加密軟體、加密檔案時效能被 拖垮，而導致使用者無法操作正常的工作。一般來說，用戶端程式執行時約佔掉記憶體約10~15MB空間、加解密檔案時約有3~5%效能使用 是比較好的解決方案。 在連線認證主機端，如在連線使用者數量過多的環境下、單點認證主機故障或企業有多個分點時，能支援有多台加密政策伺服器自動備 援方案，以防止用戶端因無法連線認證主機，而無法正常開啟加密檔案來工作。

(5)平台相容性

企業的機密資料加密後，需考量加密資料在會透過不同裝置來存取，所以平台的支援就顯得特別重要。一般來說，企業應考量的平台 會有3個：第一種是Windows平台，不管是新機x64版本或舊機的x86版本均要能支援；第二種是智慧型手機、平版的iOS、Android平台，因 員工現今已大量使用手機去看公司的電子郵件、存取公司後台系統的資料；第三種是VDI虛擬桌面平台，因企業IT虛擬化已是蠻普遍的現 象。

(6)支援可加密的軟體種類與控管效果

軟體支援種類的多寡，決定了加密系統能保護企業機密資料的範圍。以企業角度來看，應考量從機密資料產生開始、整合應用、輸出 使用、到生命周期結束銷毀前，都要全程加密是最好的，但這需要支援的種類多才能作的到，一般來說，能支援200~300種軟體是比較好 的。另一個要考量是尚未支援的軟體種類，多數產品則是需要透過客製化等由原廠修改後，才能納入支援，這樣是不合適的，應該是產品 內建工具，讓企業可以自行增加原本未支援的軟體，使軟體客製化的機率降到最低，以提高產品使用的便利性。

(7)系統整合

對企業而言許多系統(如帳號管理系統、HR人資系統、ERP...等等)均會建立在先，加密系統往往在後，所以加密系統一般要考量能支援 像AD或LDAP帳號管理系統作SingleSign-On的便利性，也同時也免去管理兩套帳號系統的窘境。資料庫儲存的部份除了要有內建的資料庫外 ，建議也要有支援其它的名牌資料庫，以配合企業原有使用的資料庫，統一管理。同時對於審核通知除了透過用戶端程式通知以外，最好 也能整合企業的郵件伺服器來發送email給審核主管與申請者，因為使用者工作列加密圖示的提示訊息太小甚至有時會被隱藏，使用者不易 察覺，造成工作上的延遲總是不好。

資料來源：資安顧問 Richard Lee