公司每天都會產生數以萬計且儲存在使用者電腦、檔案伺服器、雲端等不同位置的機敏文件或資訊。針對文件的資安管理，公司需慎防員工離職竊取資訊到第三方，或透過與上下游廠商交換訊息時洩漏機密資訊的內部威脅；也需避免違反個人資料保護法、GDPR 等資訊保密法規的約束。
公司 CIO（Chief Information Officer，資訊長）或資訊單位負責人通常在面對機敏資料的保護會優先考慮 DLP（Data Loss Prevention，資料外洩防護）與 DRM（Digital Right Management，數位版權管理）技術。
接下來馬上帶您瞭解一下 DLP 與 DRM 技術是如何防止資料外洩以及它們有什麼差異呢？
什麼是「DLP」？
想像一下，DLP 系統就像是位於網路出口的「警察」，當有人試圖想將資料進行出口時，它會檢查是否違反公司機敏資料與文件的出口規則並進行反制。
DLP 解決方案是在資料儲存或傳輸時透過端點中的程式進行文件掃描，取得上下文的關鍵字，並取得端點伺服器中的規則進行資料與文件的分類，或是控制公司內的使用者是否可以透過網路將機敏資訊或文件複製到行動設備或外接儲存裝置等，防止資料外洩。DLP 是一項非常強大的技術，但它卻有幾項必須面對的重大挑戰。
導入 DLP 系統需面對的挑戰：
- 要如何有效確定哪些文件能夠離開或不能離開公司？
- 是否能有效關閉「所有」的出口點並對其進行控制？
- 是否可以控制所有公司的設備？如：手機、雲…等。
- 如果有任何資訊或文件離開了公司逃離這個「警察」的控制，該怎麼辦？我可以限制該文件的存取嗎？
傳統的 DLP 解決方案只能檢查「要離開公司的內容並決定是否能夠離開」。這是一個二選一的過程，但公司的日常並非透過二元分類就能解決。對於 IT 人員而言，很難透過定義策略來描述並對資訊進行分類且又不會產生許多「誤報」。
所以 IT 人員的挑戰是必須確定什麼是機密，而什麼不是機密，才能減少系統的誤報，但矛盾的點在於 IT 部門很難確定什麼是機密或什麼不是機密，而機密與否只有該文件的使用者才知道，所以「分類」這件事情對於 IT 部門在導入 DLP 時是首要面對的挑戰之一。
而另一挑戰是無法掌控文件發佈後的行為。一旦文件被 DLP 系統認定是可以離開公司的情況，就無法阻止收件人將該文件進行轉發給未授權的使用者，或將其保存在任何的儲存裝置上。一般而言，導入 DLP 分為兩個階段：「監視」與「阻止」，通常公司會從「監視」階段開始，用以檢測網路的資料類型，然後再進入「阻止」階段進行違規防止，但如果在「阻止」的過程中產生誤報，而造成「不當阻擋」將會在組織中產生反彈。
總而言之，DLP 工具可以對網路中的機敏資訊進行分類、監視、阻止，但必須依賴非常精準的「分類」來避免誤報，這是不可被低估的。
什麼是「DRM」？
DRM 又稱 E-DRM（Enterprise Digital Right Management，企業數位版權管理），是以資料文件為中心，其保護與授權功能也跟隨著文件，文件到哪保護就到哪。主要可監控誰存取文件、何時存取、是否有未經授權的存取，且不論文件位於公司內部還是外部，都可限定文件的存取權限（如：讀取、編輯、列印、複製貼上…等）。如不希望特定人員再次存取文件，則可限定文件的到期日、限定閱讀次數或將文件召回、註銷。
舉一個實際的例子，當 A 使用者發送文件給 B 使用者，B 使用者可能會在 3 分鐘內列印文件並將紙本發送給其他 5 個人，然後再將電子文件檔案發送給另外 10 個人並進行更改。需特別注意的是，這邊 A 使用者只有在建立文件時擁有所有權，一旦將文件共享，他將不再是文件的擁有者，因為文件的接收者可針對該文件進行任何操作。以上的情境每天都在發生，而這也是 DRM 技術試圖解決「無論與誰共享資訊文件，都能確保原使用者持續成為資料文件的擁有者」這個問題。
在所有商業行為中公司必須與上下游廠商進行資訊與文件的交流，此時導入 DRM 技術可讓文件多一層保護，不論文件是在公司內部或外部甚至是行動裝置中，都可設定文件的有效期限，也可即時的提供文件接收者更多或更少的權限（如不希望接收者進行編輯或列印，則可限定其唯讀或列印）。
導入 DRM 系統需面對的挑戰：
DRM 解決方案的優點是易於導入，且在導入後的當下馬上生效，即可針對文件進行加密並控管公司內部機敏文件的授權。而 DRM 技術的主要挑戰是讓使用者易於使用，且導入後的使用情境都必須跟導入前一致，簡單來說就是要讓使用者無感。第二個挑戰是必須相容使用者日常使用的應用程式（例如：Office、Adobe PDF、AutoCAD），且不能受到應用程式版本變更的影響，而最後一個挑戰就是自動保護。雖然受管控的文件可以透過 DRM 進行保護與授權，但當機敏資訊存在於非管控內的文件時，即可透過與 DLP 的合作提供使用者更完美的結合。
DLP 與 DRM 如何互補？
如前所述，管理者可使用 DLP 系統建立規則來識別機敏訊息；一旦檢測到，無論是儲存還是傳輸中，即便管理者可以使用建立日誌記錄、阻止存取、刪除文件等措施，但還是無法解決「誤報」所造成生產力降低的問題。但透過 DLP 與 DRM 的結合，可使用 DRM 的保護策略將文件自動加密。例如：DLP 掃描端點或網路資料夾，且在文件中檢測到任何信用卡資訊或是個人資訊等，則 DLP 可以透過 DRM 的加密授權對他們進行加密，並將該文件授權給特定的部門進行存取，大幅降低文件外洩的風險，與不當阻擋所造成的生產力低落。
整合 DLP 與 DRM 優勢：
- 機敏文件可在不依賴使用者的操作下，針對文件進行加密，主動防護。
- 無論文件處在公司內部或外部都將受到保護。
- 不管文件在哪，管理者隨時隨地都可監控使用者對文件的存取行為。
- 不管是在公司內部或外部都可即時召回機敏文件的存取權限。
總而言之，公司機密文件的保護最理想的狀態是整合 DLP 與 DRM 系統，但在公司預算有限的前提下，建議優先選擇 DRM 系統，從檔案源頭自動加密，萬全保護文件資料的安全性！
