中小企業導入加密檔案系統 (EFS) 需系統性規劃。本文提供從憑證生成、恢復代理建立、啟用加密選單、檔案共享設定到金鑰備份/還原的完整操作藍圖。
核心任務清單
- 準備工作：確認 NTFS 磁碟區、用戶具備 EFS 憑證與 NTFS 修改權限。
- 生成與備份恢復金鑰：建立網域/本地資料恢復代理 (DRA)，匯出 .pfx 離線保存。
- 建立網域恢復代理：透過群組原則指定 DRA 憑證，覆蓋整個網域/OU。
- 建立本地恢復代理：獨立工作站透過本地安全性原則指定。
- 啟用 Windows 檔案總管「加密/解密」右鍵選單：方便用戶操作。
- 啟用 EFS 檔案共享：允許多用戶共同存取加密檔案 (需匯入彼此公開金鑰)。
- 導入/導出資料恢復金鑰：災難恢復核心程序，詳見第三篇。
- 資料恢復演練：定期測試 DRA 解密流程。
- 最佳實務：強制關鍵資料夾加密、稽核 EFS 事件、憑證生命週期管理、使用者教育。
兩類關鍵憑證區別
| 憑證類型 | 用途 | 持有者 | 增強金鑰用法 OID |
|---|
| EFS 憑證 | 加密/解密自身檔案 | 一般用戶 | 1.3.6.1.4.1.311.10.3.4 |
| 檔案恢復憑證 (DRA) | 解密範圍內所有用戶檔案 | 網域管理員/受信任代理人 | 1.3.6.1.4.1.311.10.3.4.1 |
實施關鍵提醒
- EFS 僅保護靜態資料，傳輸中仍需 IPsec/TLS。
- 避免使用者私自備份私密金鑰至不受管 USB，導致金鑰外洩。
- 結合 BitLocker 磁碟加密提供雙層保護 (資料在休眠/關機時受 BitLocker 保護，開機後由 EFS 保護)。
EFS 部署非一次性專案，需納入資安治理持續改善循環 (PDCA)。