關鍵要點
- 電子郵件資料遺失往往隱藏在複雜的內容中：敏感資訊可能存在於附件、圖片、嵌套的壓縮檔、元資料或隱藏文字之中。
- Proactive DLP 在傳輸前進行干預：內容是在傳輸過程中進行檢查與分類，而非在曝光之後。
- 執法措施可以符合比例原則：敏感內容可以被遮蔽、替換、進行雜湊處理、加水印或封鎖，同時讓合法訊息繼續傳輸。
- DLP 已內建於MetaDefender Email Gateway Security 之中：檢查與政策執行皆在同一個 SMTP/MX 閘道上執行。
電子郵件是商務活動的樞紐，也是敏感資料可能在資安團隊來得及介入之前便外洩的管道。合約、財務紀錄、憑證、醫療資訊、原始碼及智慧財產權等資料，每天都會透過郵件正文和附件傳輸。其中大部分的傳輸都是正當的。當敏感內容因人為疏失、帳戶遭入侵、處理流程不嚴謹，或蓄意外洩而送達錯誤的收件者時，資料外洩便會發生。一旦郵件發出，資料便歸收件者所有。
針對電子郵件的主動式資料外洩防護（DLP）會在傳輸過程中檢查郵件及附件，根據上下文對敏感內容進行分類，並在電子郵件送達前執行政策動作，例如遮蔽、雜湊處理或封鎖。
對於政府、國防及其他受監管或關鍵基礎設施組織而言，MetaDefender™Email Gateway Security 中的Proactive DLP 具備的三項功能最具重要性。
- 這些政策會掃描主旨、信頭、正文及受支援的附件中的分類標記與敏感內容，因此信頭中的標記所受到的審查程度，與試算表中的數字相同。
- 透過本地部署，可將敏感內容保留在組織自身的基础架構內。
- DLP 與 Deep CDR™ 技術及 Metascan™Multiscanning 運行於同一 SMTP/MX 閘道中，因此敏感資料管控與惡意軟體防禦共用同一條檢查路徑。
IBM 的 《2026 年資料外洩成本報告》 指出，全球資料外洩的平均成本為 499 萬美元，較去年同期增長 12%，其中偵測、升級處理及業務損失等成本是推動這波增長的主要因素。該報告針對包括電子郵件在內的各類管道進行資料外洩事件分析，數據顯示當敏感資訊突破既定管控措施時，所面臨的風險包括：調查與控制、監管審查、營運中斷以及信任流失。
為何電子郵件資料遺失難以控制？
電子郵件資料的遺失，鮮少僅限於顯而易見的郵件正文。敏感資訊可能隱藏在試算表工作表、掃描的 PDF 檔案、嵌入式物件、圖片、嵌套的壓縮檔、裁切後的圖片區域，或是文件元資料之中。此外，這些資訊也可能透過白色文字、極小字體或其他能規避目視檢查的格式設定而被隱藏起來。
傳統的檢查方式往往僅限於靜態圖案、可見文字以及有限的支援格式，導致嵌套檔案、裁切過的影像區域以及隱藏文字無法被偵測到。
當政策被觸發時，傳統的控制機制往往只能做出非此即彼的決定：要麼封鎖整則訊息，要麼允許其繼續傳輸。封鎖雖能防止資料外洩，但一刀切的執行方式會造成運作上的摩擦。合法的資料傳輸因此受阻，使用者會尋找變通方法，而資安團隊則必須處理更多例外情況並進行人工審查。
因此，這項要求比單純偵測信用卡號或國民身分識別碼的範圍更為廣泛。有效的電子郵件資料外洩防護（DLP）系統必須能在複雜的內容中定位敏感資料、根據上下文進行評估，並在訊息跨越信任邊界之前執行政策，同時避免將每筆合法的檔案交換都轉化為技術支援案例。
「主動式」對資料外洩防護的意義
Proactive DLP 將控制權移交至資料傳輸的關鍵點。與其在郵件送達後才發現資料外洩，該機制會在電子郵件仍受政策規範期間，即對內容進行檢查。其目標在於介入：偵測並分類敏感資訊，根據上下文進行評估，並在郵件抵達未經授權的目的地之前，採取適當的行動。
如此一來，執法措施便可與風險程度相稱。某些內容必須被封鎖，但在其他情況下，則可對敏感內容進行遮蔽、替換、匿名化、雜湊處理、加水印，或從元資料中移除，同時讓檔案的其餘部分繼續通過經核准的工作流程。這一點至關重要，因為預防措施應能在保護資料的同時，避免不必要地中斷相關的業務流程。
OPSWAT （Proactive DLP ）如何洞察表象之下
OPSWAT Proactive DLP™ 整合了多種內容檢查方法，因為敏感資料並不會以單一且可預測的形式出現。光學字元辨識、命名實體辨識、自然語言處理、可配置模式及關鍵字等技術協同運作，以識別個人識別資訊 (PII)、個人健康資訊 (PHI)、支付資料、憑證、雲端機密、受監管文件以及組織專屬的資料類型。由人工智慧驅動的模型將偵測範圍擴展至無固定格式的內容，例如格式不一的識別碼，或是嵌入於普通散文中的憑證。 具情境感知能力的驗證功能可提升精準度，例如驗證支付卡結構，或區分敏感識別碼與偶然出現的數字。
檢查過程會遞迴地遍歷 125 種以上的檔案類型，涵蓋嵌套的壓縮檔、內嵌圖層、不可搜尋的 PDF 檔案、圖片以及裁切後的圖片區域。這種深度至關重要，因為看似已被移除或隱藏的內容，仍可能殘留於檔案內部，且任何知道該往哪裡找的人都能存取。
隱形文字就是其中一個例子。白色背景上的白色文字、極小的字體，或是隱藏的欄位，雖然人眼審閱時可能無法察覺，但這些內容實際上仍然存在且可被機器讀取。正如 OPSWAT關於隱形文字偵測的部落格文章中探討的，這些技巧可能會造成實質的審查漏洞。讀取底層內容——包括那些從未在螢幕上顯示的部分——有助於彌補此漏洞。
當識別出敏感資料時，系統將依據政策決定應對措施。根據檔案類型與設定，Proactive DLP 可對內容執行封鎖、遮蔽、替換、雜湊處理、加水印、移除元資料或匿名化等操作。此做法比將每次偵測都視為自動隔離事件來處理，更加精準。例如，包含外洩識別碼的文件可經修正後釋出；而包含未經授權憑證或屬禁止資料類別的檔案，則會被阻止。
Proactive DLP 同時也會針對每項決策建立相關證據。信心分數與分類紀錄可作為元資料嵌入，供後續的 SIEM、文件管理及自動化工作流程使用，協助團隊追溯偵測到的內容、分類方式，以及所採取的行動。專用的控制措施進一步擴展了該模型的功能，包括對 DICOM 醫療影像中的受保護健康資訊進行匿名化處理，以及針對受控分析或資料共享工作流程中的識別碼進行加密雜湊運算。
MetaDefender （Email Gateway Security ）是如何將 DLP 技術應用於電子郵件的？
MetaDefender Email Gateway Security 將這些控制措施整合至來信與去信的電子郵件工作流程中。該解決方案部署於 SMTP/MX 層，會在郵件送達前檢查訊息及附件內容，同時讓組織能夠主動執行政策，而非仰賴事後補救措施。
在MetaDefender Email Gateway Security 之中，Proactive DLP 針對電子郵件風險中的敏感資料面向，在訊息層級（超越附件邊界）進行處理。在訊息跨越網域或信任邊界之前，政策可檢查主旨、標頭、正文及受支援附件中的分類標記與敏感內容。 因此，組織能夠根據上下文識別個人資訊、受監管資訊、受控資訊或機密資訊，並針對個別郵件組件套用處理規則。當政策與檔案支援允許時，MetaDefender Email Gateway Security 可對敏感資料進行遮蔽並傳送已修正的內容；移除不符合規範的組件同時允許郵件其餘部分繼續傳輸；或在無法安全解決風險時，阻擋並隔離該傳輸。此矯正措施模式有助於保留合法通訊，同時維持對流出組織資料的控制。
加密的附件亦可納入檢查流程，而非被自動攔截或透過例外情況放行。視部署方式與政策設定而定，閘道器可使用電子郵件正文中找到的密碼，或透過受控收件人工作流程提供的密碼，進而將解密後的內容提交至Proactive DLP 及周邊的安全層。此舉彌補了密碼保護或嵌套加密檔案原本可能造成的檢查漏洞。
每項決策也必須具有可辯護性。MetaDefender Email Gateway Security 可記錄訊息層級與元件層級的檢查結果，包括涉及的附件、規則及安全層，並透過標準日誌格式將事件轉發至組織的 SIEM 系統。透過本地部署，受限環境得以將敏感內容保留在自身基礎架構內，同時維持可稽核的執法紀錄。
DLP 是更廣泛的「預防優先」架構中的一環。即時反釣魚功能會評估經社會工程學手法製作的訊息及潛在惡意連結。Metascan™Multiscanning運用超過 30 種反惡意軟體引擎來分析檔案。Deep CDR™ 技術會預先從受支援的檔案中移除潛在有害的動態內容。預測性 Alin AI提供執行前的機器學習判定結果，而MetaDefender Aether™則分析可疑檔案的行為。每個層級皆針對特定風險進行防護；透過協同運作，這些技術有助於保護電子郵件通道，防止惡意內容進入組織，並阻止敏感資料外洩。
在確保工作流程不中斷的情況下保護資料
proactive DLP 的價值體現在：該組織能否在不干擾員工、合作夥伴及受監管流程所依賴的合法檔案交換的情況下，一致地管理敏感資訊。
透過檢視可見文字以外的內容、在傳輸前執行政策，並在適當情況下對敏感元素進行修正，組織便能減少監控盲點、減少人工審查，並產生更明確的證據，證明控制措施已按預期運作。相同的模型亦可保護雲端憑證與API 機密資訊、管理支付與身分識別資料，並對受監管的醫療內容實施特殊處理。這些功能雖能支援隱私、安全與合規計畫，但並不能取代存取治理、使用者教育或事件應變。
開始使用Proactive DLP 來Email Security
一旦敏感資訊落入未經授權的接收者手中，預防便已轉為應對。最有效的管控環節，是在訊息離開閘道之前。透過適當的政策，該提案中的每一個隱藏金鑰、社會安全號碼及卡號，都將在資料外洩之前被遮蔽、移除或阻止。
了解如何 MetaDefender Email Gateway Security 能協助您的組織檢查、管理及保護進出電子郵件中的敏感資料。
若要深入了解「內容感知偵測」、「細粒度修復」及「進階敏感資料控制」等功能，請下載《OPSWAT 》指南（Proactive DLP ）。
常見問題 （FAQ）
Proactive DLP 電子郵件功能是什麼？
Proactive DLP 在傳輸過程中檢查電子郵件及其附件，根據上下文對敏感內容進行分類，並在郵件送達未經授權的目的地之前執行政策措施。
Proactive DLP 能在電子郵件中偵測到哪些敏感資料？
它能識別超過 125 種檔案類型中的個人識別資訊（PII）、個人健康資訊（PHI）、付款資料、憑證、雲端機密、受監管文件以及組織專屬資料類型，涵蓋範圍包括嵌套式壓縮檔、嵌入式層級、不可搜尋的 PDF 檔案、圖像以及裁切後的圖像區域。
電子郵件 DLP 是否必須封鎖整封郵件？
不。當政策與檔案支援允許時，MetaDefender Email Gateway Security 可對敏感資料進行遮蔽並傳送經處理的內容、移除不符合規範的組件同時讓訊息其餘部分繼續傳輸，或阻擋並隔離該傳輸。
DLP 能否檢查加密的電子郵件附件？
視部署方式及政策設定而定，閘道器可使用電子郵件正文中找到的密碼，或透過受控收件人工作流程提供的密碼，隨後將解密後的內容提交至Proactive DLP 。
OPSWAT 的哪款電子郵件安全產品包含 DLP 功能？
MetaDefender Email Gateway Security 目前是OPSWAT 唯一具備 DLP 功能的電子郵件安全解決方案。
