資訊安全與文件保護
編者：Cho-Han Wu
圖一、 Share Point 2013 (來源)
前言：
無論任何系統，只要涉及使用者文件或資訊儲存，都可能面臨個資洩漏，即便雲端系統也不例外；因此企業莫不期盼打造安全無虞的文件平台，並結合適當技術，讓各項重要資料即使攜出，也毋需擔心外洩問題。
個資法上路迄今屆滿一年，雖然這段期間，多數企業並非因觸法而慘遭鉅額求償，但這並不代表企業都已將個資保全做到滴水不漏，尚有很大進步空間。
環顧個資保全議題，不可諱言，文件的管理與保護確實是重要一環；只因企業的機密資訊，皆埋藏於一份份電子文件，若這些文件被有心或無意流傳出去，也意謂公司機密旁落外人之手，連同個資都可能因此而外洩。
著眼於此，台灣微軟舉辦的資安應用系列研討會之二，特別將主題訂於「資訊安全與文件保護」，旨在協助企業運用SharePoint 2013或SharePoint Online 2013，從最基本的身份驗證與權限控管、到外部系統安全連線，以及整個系統的稽核機制，循序打造安全的文件與系統平台，並結合RMS(Rights Management Services)，確保各項重要資料即使攜出，也絕無外洩之虞。
值得一提的，新版RMS雖然尚在Preview階段，但蘊含重大玄機，其中最引人關注的，無非是支援加密的範圍，不再侷限於微軟Office，而是擴及到諸如PDF、AutoCAD…等形形色色的文件格式，讓不少IT人員亟欲先睹為快。
以下的篇幅，將先行鋪陳台灣微軟資深講師曹祖聖所闡述的「SharePoint 2013文件安全規劃與設定」內容，接著再緊扣台灣微軟技術經理蔡宗佑講述的「新版RMS在文件安全上實作與應用」內容
SharePoint 2013文件安全規劃與設定
曹祖聖指出，所謂文件安全不外三件事－Who、What與How，主要記載了讀取、修改、刪除、登入或登出等資訊的稽核記錄，記錄的事項也不脫三個W。SharePoint的權限架構亦是呼應此一脈絡，內含三大要素，其一是身份確認(Who)，系統預設的確認範圍為Active Directory的User Account或Global Groups，但假使企業採用其他認證機制，也可經由ADFS(Active Directory Federation Services )予以納入，同樣受到支援；另基於方便管理，SharePoint自身也有群組設定機制，不論是否出自Active Directory的帳戶皆可加入，完成加入後，用戶可據此進行階層式權限設定。
SharePoint權限架構的第二要素，則是Securable Objects(What)，也就是權限設定的標的物，包括了單一文件、資料夾或網站集合，其權限會隨著不同的人或群組而異。第三項要素是Permission(How)，SharePoint可繼承上層網站(此指網站集合的根網站)的權限，其下所有網站與其他物件通通適用，但用戶若有其他考量，也可以選擇放棄繼承，全部予以重設；但SharePoint與NTFS在於權限繼承，有一個極大不同，後者容許既繼承、又修改，兩者可並存，SharePoint則僅容許二選一。
文件權限與版本控制
用戶進入SharePoint 2013網站，選定任一文件庫，即可開始設定權限，用以界定不同人或群組(預設身份包括了成員、訪客、擁有人)，究竟能夠對它行使設計、編輯、讀取…等等權利；如前所述，用戶可選擇繼承上層網站的權限，否則即可點選「停止繼承權限」、或進入「管理上層」修改權限，運用這些途徑授予文件、文件庫或網站集合之權限。
不可否認，如果企業未做好版本控制，任何文件只要一經覆寫，原本內容即告消逝無蹤，避免此事發生，用戶即需善用SharePoint文件庫版本管理功能。曹祖聖表示，有關SharePoint版本設定，區分為「主要版本」(例如1、2、3、4)、「次要版本」(例如1.0、1.1、1.2、2.0；意指草稿)，用戶可選擇是否建立版本。
一般而言，啟用文件庫版本控管的用戶，都會加上核准功能，因此任一份文件的主要與次要版本，舉凡編號、修改時間、修改者、大小、註解等細部資訊，都會透過「版本歷程記錄」清楚呈現。當然，為避免留存版本過多而佔用儲存空間，用戶可透過「選擇性限制要保留的版本數量」來設定上限，一旦版本多到超過此數值，較舊版本就會為系統自動清除。
此外，為滿足使用者的RSS訂閱需求，管理者可預先進行相關設定，包括定義RSS摘要的通道元素(例如是否截斷多行文字欄位為256個字元，並填入標題、描述、圖像URL)，及設定RSS項目的連結與隨函附件。
存取稽核與資訊管理原則
值得一提的，SharePoint 2013提供完善的文件存取稽核、文件資訊管理原則、文件核准與發佈等機能。有關存取稽核，用戶可選擇是否自動為某網站修整稽核記錄，並指定要稽核的事件，譬如針對文件的開啟或下載、編輯、存回或取出、移動或複製、刪除或還原等項目，或是針對清單／文件庫／網站編輯內容類型及欄、搜尋網站內容、編輯使用者及權限；用戶可定期檢視稽核報告，但因報告日積月累數量必然龐大，因此曹祖聖建議，用戶可一個月做一次整理，選擇將舊報告加以封存、移至其他位置，或打包成為zip檔。
至於文件資訊管理原則，就好比Metadata編輯器，可允許產生可插入至微軟Office文件的標籤、唯一識別條碼，以方便搜尋文件(註：『標籤』另有助於確保列印文件時，都將包含文件摘要資訊或其他重要資訊)，可允許啟動稽核，也允許透過「保留」設定來進行自動排程內容的處理，例如針對到期的文件版本或稽核報告，選擇將之移至資源回收筒、永遠刪除、移至其他位置，甚或啟動工作流程。
而在文件核准與發佈方面，是屬於文件生命週期(「建立」→「編輯檢視」→「發佈」→「核准」→「收藏」)其間重要環節。當文件進行發佈時，其狀態旋即從原本「草稿」變成「擱置」，準備接受核准，而當核准(或拒絕)結論產生，文件狀態又將轉變為「已核准(或已拒絕)」，一旦核准，所有授權使用者皆可看到此文件，然若是拒絕，則僅有建立者、審核者可以看得到。
新版RMS在文件安全上實作與應用
當然，藉由SharePoint，確實可滿足內部存取限制(文件權限)、監控與追究責任(文件稽核)、安全標示與封存(資訊管理原則)，但企業若欲針對外部施行存取限制，便需結合資訊版權管理(IRM)功能，IRM旨在限制使用者對從清單或文件庫下載之檔案採取必要動作，一方面將下載的檔案加密，並限制能夠解密文件的使用者與程式功能，另一方面則進一步限制允許讀取檔案的使用者權限，譬如無法採取列印、複製、修改、傳真、Print Screen等動作，或設定使用期限，倘若逾期，使用者必須重新通過認證。
曹祖聖說明，欲啟用IRM，必須安裝PowerShell，其步驟很簡單，當系統管理者開啟PowerShell後，依序完成Import-Module AADRM、Connect-AadrmService、Enable-Aadrm與Disconnect-AadrmService等程序，再分別至Office 365管理中心啟動版權管理、至SharePoint文件庫執行資訊版權管理設定即可。
新版RMS加密，全無格式限制
這段內容，與蔡宗佑緊接著講述的新版RMS主題息息相關，只因IRM背後的運作核心，正是RMS。蔡宗佑強調，新版RMS最大特色，即是跳脫以往的Office格式限制，一舉囊括了PDF、TXT、Ps、Ai、DWG…等「所有」的檔案格式，伴隨此一重大轉變，不僅利於企業與企業之間分享資訊，亦讓使用者可藉由行動裝置讀取加密文件，充分迎合BYOD浪潮。
值得一提的，新版RMS不但完全解放格式限制，且非藉由密碼管制、而是採取憑證對應的方式，所以接收方在執行文件開啟時，不需歷經繁瑣步驟，並無影響既定使用習慣之虞。至於文件擁有者設定權限的步驟，也相當簡易，若已有RMS伺服器，預先定義好簡易範本，此後針對所欲加密的檔案按下右鍵即可輕鬆設定，但如果沒有RMS伺服器，只要安裝Windows RMS Sharing App，爾後不論針對圖檔、PDF等各式檔案，同樣仰靠右鍵操作，即可完成加密，尤其針對PDF部分，新版RMS已與Foxit Rader進行直接整合，更有助於使用者加速完成至SharePoint網站下載PDF複本之動作。
安全且無縫的B2B分享
蔡宗佑表示，隨著新版RMS出爐，企業與企業之間文件分享，也變得更加輕而易舉。對於擁有文件的一方，只需輸入對方郵件地址，並設定允許以所有裝置接收、權限、是否支援離線瀏覽、到期日，再由AAD記載所有客戶帳號與權限(註：AAD毋需與AD同步，所以不會有資訊外洩之餘)，此後只要對方到微軟Windows Azure的RMS Online(RMSO)註冊郵件地址，即可收受文件擁有者傳遞的加密檔案。
上述使用情境，不論企業有無建置RMS伺服器都適用，無RMS者，可仰賴 Azure RMS服務進行相關運作，自已毋需維護系統，而所有日誌(Log)都會留存於RMSO；若已建立On-premise RMS伺服器者，仍可結合RMSO作為第二連結，一來多保留一份Log，二來可借助RMSO跨平台優勢，發揮行動存取妙效，尤其此類企業僅以Connector元件與RMSO連通，帳號管理機制並無混淆之虞，既有的文件發佈模式不受影響。
而無論將RMS建於企業內外，若欲採用RMSO儲存Log，用戶皆需歷經相同步驟，意即建立Azure Storage Account，完成新增後再勾選地區、輸入正確URL、產生Account Name及Access Key，接著設定AADRM，包括安裝PowerShell，以及將Access Key複製貼上於Command，便可完成啟用。
對於純粹仰賴RMSO服務的用戶來說，另需申請Office 365帳號，再經由Office 365管理介面的啟動頁面，點選手動加密方式，即可確認系統開通，緊接著再逐一啟動SharePoint Online、Exchange Online的IRM服務，便大功告成；總而言之，借助新版的RMS，輔以Windows RMS Sharing App等配套工具，企業想要與客戶或夥伴進行安全、無縫的B2B檔案交換，都不再是難事，且可強制套用公司資安政策規範，而無外洩個資的疑慮。