我在一家律师事务所工作，拥有大量极其敏感的数据。
我希望提高安全性。特别是在电子邮件方面。
所以我希望得到很多建议，加密、存储和类似的东西。我已经有一些预防措施，但最好是概括一下，最好多征求建议。
请提供尽可能多的提示:)
客户有：Windows XP 和 Office 2007。我们有一个 Exchange 服务器，以 2003 作为后端。我宁愿不升级操作系统，但除此之外，我非常乐意听取建议。哦，还有一件事。Office 2007 也是必须的，这一点无法改变，因为我们公司的一些软件依赖于 Word、Excel 和 Outlook。
答案1
您到底想保护什么？发送给其他人的电子邮件？在这种情况下，您需要使用类似 PGP 的东西来加密邮件，因为电子邮件是以明文形式发送的……您的服务提供商可以轻松拦截通过其网络传输的电子邮件（或任何提供您和收件人之间连接的人）。PGP 肯定会给他们带来比解密邮件更多的麻烦。Outlook 应该有插件来集成它。
您是否想保护服务器上消息的存储？您需要采取常规预防措施，确保服务器安装了所有最新补丁、设置强密码、采用轮换密码策略，这样用户就必须定期更改密码，密码至少包含 8 个字母和大小写字母数字，可能为 30 到 90 天的周期。
您的邮件服务器上有 AV 和恶意软件扫描程序，是吗？
您是否担心存储被盗？如果政府认为有理由检查员工是否在做某事，他们就会喜欢盗用这些存储。阻止这种情况的唯一方法是加密存储卷。事情变得棘手，因为您需要在操作之前做好备份……您可以使用 NTFS 的本机加密或 truecrypt 之类的东西来加密卷。这也意味着，如果存在数据损坏、启动问题等问题……如果您不提前计划和测试，您就会陷入困境，因为您不能只使用救援盘启动并获取数据进行恢复！您可能只想留出一个分区来存储来自邮件服务器的数据，然后加密该卷。
再次...测试备份。我们正在讨论对您的邮件服务器进行更改，如果出现问题，您很容易丢失数据。
那么这是另一个问题...你是使用加密磁带的备份产品，对吗？因为如果某个小混混能带着磁带跑出去恢复家里的数据，而你又没有密码和加密，那么邮件服务器上的所有安全措施都将毫无意义。
您希望将安全层级提高到何种程度？因为如果您以缓存数据的方式运行 Outlook，那么任何在客户端系统上放置恶意软件的人都可以阅读他们的电子邮件。接管老板的计算机意味着他们可以访问老板可以访问的任何内容，无论是否加密。
您确实需要确定要防范的具体威胁。制定计划，如果您是局外人，您将如何尝试获取您要保护的任何资产。然后弄清楚如何挫败您的行为。窃取客户端计算机？数据备份？嗅探流量？按键记录器？哪些帐户需要保护？
然后深吸一口气，算出从金钱和便利性方面来说，这将花费多少钱。安全性通常不是最方便的，如果用户不得不忍受解密和加密（并让其他人使用加密）或必须存储密码或拥有多个密码，他们会感到沮丧。您需要在安全性和便利性之间找到平衡，以便您的用户与您合作而不是与您作对，因为当用户因太烦躁而无法遵循程序时决定绕过您的安全措施时，您的安全性将毫无意义。
答案2
如果您运行的是 Win 2003 之类的服务器操作系统（如果您使用 Exchange，我看您就是在运行该操作系统），则可以免费使用 Microsoft 公钥基础结构/证书颁发机构。它与 Active Directory 集成得非常好（如果您也在运行该目录）。用户可以从 CA 获取证书并根据需要用它加密电子邮件。在同一个域内交换加密电子邮件没有问题，因为用户将固有地信任 CA 并可以访问公钥进行解密。如果您要向域外发送加密电子邮件，则需要接收方的公钥，以便用它加密发送给他们的电子邮件。这可确保他们是唯一可以阅读它的收件人。从域外接收加密电子邮件则相反。很抱歉，我对安全存储电子邮件没有任何建议...
实施 Microsoft PKI 的最佳实践 -http://technet.microsoft.com/en-us/library/cc772670(WS.10).aspx
使用 Outlook 2007 加密电子邮件（假设您的 PKI 已设置）-http://office.microsoft.com/en-us/outlook/HP012305361033.aspx
答案3
如果你不反对花钱的话。PGP 通用服务器并不是一个坏主意。我们已经运行它好几年了。过去 8 个月，它作为虚拟服务器也运行良好。
答案4
在直接电子邮件安全方面，现有的两种“标准”有点自相矛盾。S/MIME 在您的环境中具有更好的客户端支持，但存在 PKI 问题。PGP 在信任方面更广泛使用，但在 Outlook 环境中（恕我直言）笨重。这假定正在执行的通信能够使用任一标准。
我们研究了 S/MIME，并遇到了信任问题。我们无法为每个人提供链接到所有浏览器中的一个证书的证书，我们甚至无法推测提供这种东西的可能性。通过使用我们内部的 Active Directory 根证书颁发机构，我们至少能够保护我们之间的电子邮件，但不能优雅地保护与外部实体之间的电子邮件。我们必须要求外部实体信任我们的颁发机构，而这么多年过去了，这仍然是一个棘手的问题。
另一方面，使用内部 CA 的 S/MIME 是免费的。我们还可以设置默认值，以便所有发送的邮件至少都经过签名，甚至可能加密。有了全局地址列表和邮箱的外部实体联系人列表中的证书，维护密钥环对于内部邮件来说轻而易举，而且可以正常工作。个人证书只需从树中检索即可，使密钥传输更简单。如果个人证书安装在家用机器上，Outlook Web Access 还可以执行 S/MIME（从 IE）。这是迄今为止最方便的解决方案，可惜信任问题阻碍了它。
PGP 或 GPG 存在 Outlook 集成问题。除非大公司的产品能改变这种情况，否则无法实现 GAL 集成。密钥必须手动备份并传输到新的计算硬件。另一方面，您不会遇到 S/MIME 所存在的 PKI 链问题，因此它比 S/MIME 更适用于更多地方。