原生加密管理

原生加密管理是指控制作業系統、裝置和平台中已內建的加密功能。對大多數組織而言，這包括 Windows BitLocker、macOS FileVault、Android 檔案型加密、iOS 資料保護、復原金鑰、裝置政策和報告。

目標很簡單：確保當筆記型電腦、手機、平板電腦或抽取式磁碟遺失、遭竊、維修、汰換或遭未授權存取時，敏感資料仍受到保護。

原生加密功能強大，因為它已是平台的一部分。但它仍需要管理。若沒有明確的政策、復原金鑰儲存、合規性檢查和使用者指引，內建加密可能變得不一致，或在發生問題時難以復原。

原生加密應執行的安全工作

原生加密可保護靜態資料。這表示儲存在裝置上的資料將無法讀取，除非具備正確的驗證、復原金鑰或解鎖方式。

NIST 將儲存加密描述為限制終端使用者裝置（例如筆記型電腦、行動裝置和抽取式媒體）上所儲存資訊存取權的方法。其儲存加密指引 ↗是了解全磁碟加密、磁碟區加密和檔案層級加密的良好起點。

CISA 在其關於保護裝置上儲存的資料 ↗頁面中提供了類似的實務指引，尤其針對遺失的裝置、抽取式磁碟和復原規劃。

在實務上，原生加密有助於因應四種風險：

• 遺失的筆記型電腦洩露商務檔案。
• 被竊的手機讓他人存取工作資料。
• 汰換的磁碟在處置後仍可被讀取。
• 使用者忘記認證資訊而需要安全復原。

加密本身只是其中一部分。管理層決定保護是否一致。

原生加密管理控制對照表

思考原生加密管理最簡單的方式，是將其視為一組控制措施，而非單一開關。

此表格區別了「加密可用」與「加密實際受到管理」。

Windows：管理 BitLocker 和裝置加密

在 Windows 上，原生加密通常是指 BitLocker 或自動裝置加密。

Microsoft 的 BitLocker 概觀 ↗說明 BitLocker 可保護磁碟區免於離線存取，尤其是在裝置遺失、遭竊或除役時。對於受管理環境，重點不僅是啟用 BitLocker，也要確保正確的政策、復原方法和報告流程均已到位。

實務的 Windows 加密政策應定義：

• 哪些磁碟必須加密；
• 僅使用 TPM 的保護是否足夠；
• 是否要求高風險使用者使用 PIN；
• 復原金鑰備份在哪裡；
• 誰可以擷取復原金鑰；
• 如何報告失敗或暫停的加密。

復原規劃很重要。Microsoft 的 BitLocker 復原概觀 ↗ 說明不同的復原選項，包括復原密碼、復原金鑰、金鑰套件和資料復原代理程式。團隊應在真正發生鎖定之前，記錄允許使用哪些選項。

macOS 和 Apple 裝置：管理 FileVault 和資料保護

在 macOS 上，原生加密以 FileVault 為核心。Apple 使用裝置管理來管理 FileVault 的指南 ↗說明組織如何強制執行 FileVault、控制使用者延後設定、管理是否向使用者顯示復原金鑰，以及透過裝置管理託管個人復原金鑰。

對於 iPhone、iPad 和較新的 Apple 平台，加密與資料保護密切相關。Apple 的加密與資料保護概觀 ↗說明當裝置遺失、遭竊或遭入侵時，Apple 裝置如何保護使用者和企業資料。

對於 Apple 環境，管理應著重於：

• 在適當情況下於設定期間強制執行 FileVault；
• 將復原金鑰託管至核准的管理系統；
• 在使用後輪替復原金鑰；
• 確認哪些使用者可以解鎖加密磁碟區；
• 記錄裝置遷移或重新指派期間會發生什麼事。

主要風險在於假設「Apple 裝置已加密」就表示組織已掌控復原和報告。這是不同的問題。

Android：透過裝置政策管理加密

Android 裝置也包含原生加密。Android 的檔案型加密允許以不同金鑰加密不同檔案，而 Android Open Source Project 在其檔案型加密文件 ↗中說明了此模型。

對於商務裝置，加密管理通常透過 Android Enterprise 處理。Google 的 Android 管理指南 ↗ 說明組織可透過管理解決方案強制執行螢幕鎖定和儲存加密等安全政策。

Android 加密管理應定義：

• 哪些裝置允許用於工作；
• 裝置是完全受管理，還是採用具工作設定檔的 BYOD；
• 需要何種螢幕鎖定強度；
• 如何鎖定或清除遺失的裝置；
• 如何監控合規狀態；
• 較舊裝置是否仍符合安全要求。

Android 加密在搭配裝置註冊、鎖定畫面政策、更新要求和遠端清除時最為強大。

金鑰管理才是真正的管理問題

加密依賴金鑰。這聽起來很明顯，但許多加密計畫失敗，是因為金鑰管理薄弱。

NIST 的 金鑰管理指南 ↗涵蓋加密金鑰材料的規劃、保護、生命週期和治理。對於原生加密，實務問題通常是：復原金鑰儲存在哪裡，以及誰可以使用它們？

良好的復原金鑰流程應回答：

1. 金鑰託管在哪裡？2. 金鑰是自動還是手動儲存？3. 誰可以擷取它？4. 是否記錄擷取行為？5. 使用後是否輪替金鑰？6. 裝置汰換時會發生什麼事？7. 若管理系統變更會發生什麼事？

不要將復原金鑰留在螢幕截圖、試算表、共用磁碟或個人筆記中。復原存取權應受到控制、記錄並加以限制。

實務部署順序

分階段部署可讓原生加密管理更容易。

步驟 1：盤點裝置

列出可能儲存商務資料的筆記型電腦、桌上型電腦、手機、平板電腦和抽取式磁碟。

步驟 2：定義必要的涵蓋範圍

決定哪些裝置類型必須使用原生加密，以及允許哪些例外。

步驟 3：選擇平台政策

在廣泛部署之前，設定 BitLocker、FileVault、Android 和其他平台規則。

步驟 4：設定復原金鑰託管

確保在使用者依賴復原金鑰之前，這些金鑰已儲存在核准的系統中。

步驟 5：以小型群組進行試行

測試復原、政策衝突、裝置遷移和使用者溝通。

步驟 6：逐步強制執行

在解決試行問題後，從僅報告模式轉為強制執行。

步驟 7：持續監控

檢閱加密狀態、暫停的保護、失敗的託管、未受管理的裝置和復原事件。

此順序可避免最常見的錯誤：在測試復原之前便廣泛啟用加密。

應向管理階層報告的內容

安全主管不需要了解每項技術設定。他們需要清楚掌握涵蓋範圍、風險和準備狀態。

實用的原生加密報告應顯示：

• 已加密的受管理裝置百分比；
• 缺少復原金鑰的裝置數量；
• 加密已暫停或失敗的裝置；
• 未涵蓋的高風險使用者或團隊；
• 報告期間內的復原事件；
• 等待汰換或清除的裝置；
• 政策例外及其負責人。

如果您需要向高階主管或客戶說明加密涵蓋範圍，您可以使用 Pi 將原生加密政策轉換為可供利害關係人使用的簡報 ↗。使用它來報告涵蓋範圍、風險、復原準備度和後續步驟，而不會讓簡報變成技術資訊堆砌。

原生加密不足的情況

原生加密可保護儲存的資料，但無法解決所有安全問題。

它無法取代：

• 身分識別與存取管理；
• 端點偵測與回應；
• 備份與災難復原；
• 修補程式管理；
• 資料遺失防護；
• 網路釣魚防護；
• 雲端存取控制；
• 安全裝置處置。

它也無法保護已由授權使用者解鎖裝置並正常存取檔案後的資料。一旦系統運作且使用者已通過驗證，仍需要其他控制措施。

原生加密應視為基準控制措施，而非完整的安全策略。

結論

原生加密管理的目的，是使內建加密可靠。啟用 BitLocker、FileVault、Android 加密或 Apple 資料保護只是開始。

成熟的計畫會定義涵蓋範圍、強制執行政策、託管復原金鑰、限制復原存取權、監控合規性，並測試裝置遺失、鎖定、遷移或汰換時會發生什麼事。

最佳的加密計畫不是勾選最強選項的那一個，而是在組織真正需要時，保護、復原和報告都能正常運作的那一個。