靜態與傳輸中的數據加密：BitLocker、Intune 與 Microsoft 365 實用清單

簡短回答： 對使用 Microsoft 365 的中小企業，「足夠」是四件事：每部 Windows 手提電腦都用 BitLocker 加密，復原密鑰存放在 Microsoft Entra ID；Microsoft 365 內建的加密保持開啟並了解其範圍；發給合作夥伴的敏感電郵用 TLS 或郵件加密保護；備份有加密，而且有人能把它還原。超出這些的措施，針對的是特定風險。

本文寫給被問過「我們的數據有沒有加密」的負責人和 IT 主管，提供可逐項核對的清單和管理員步驟。讀完你會知道微軟已經替你加密了甚麼、哪些要自己開啟，以及每一項怎樣驗證。

步驟和事實已於 2026 年 10 月 28 日對照 Microsoft Learn 核對。

一分鐘看懂靜態與傳輸中

1. 靜態數據是存放中的數據：手提電腦上的文件、郵箱內的郵件、SharePoint 和 OneDrive 內的文件、備份副本。
2. 傳輸中的數據是流動中的數據：正在投遞的郵件、正在同步的文件、Teams 會議、正在執行的備份。
3. 加密防的是具體的事。 靜態加密防的是手提電腦遺失、硬碟被盜或設備報廢；傳輸加密防的是有人讀取連線內容。Microsoft Learn 也指出，加密本身不能阻止內容被截取，所以它要放在包含 MFA、存取控制和備份的整體資訊保護計劃內。

第一級：每間公司都應有的基線

設備（靜態）

1. 每部 Windows 手提電腦和桌面電腦啟用 BitLocker。 BitLocker 加密整個磁碟，保護遺失、被盜或不當報廢設備上的數據。配合 TPM 保護最強。Windows Pro、Enterprise 和 Education 版本都支援。
2. 復原密鑰存放在 Microsoft Entra ID。 對已加入 Microsoft Entra 的設備，設備加密會自動把復原密鑰備份到 Entra ID。
3. 不要只用本機帳戶的手提電腦。 Microsoft Learn 指出，只使用本機帳戶的設備，數據雖然已加密，設備仍然處於未受保護的狀態。
4. 手機和平板電腦： 透過設備管理政策要求 PIN 或密碼。

Microsoft 365（靜態）

1. 保持服務端加密開啟。 Microsoft Learn 說明，Microsoft 365 數據在靜態和傳輸中都已加密，使用 TLS/SSL、IPsec 和 AES 等技術。數據中心內的文件和郵件由 BitLocker 和DKM保護。
2. 要明白這保護的是微軟的磁碟，不是被盜的密碼。 要加上 MFA，請參閱在 Microsoft 365 啟用 MFA。

傳輸中

1. Microsoft 365 機構之間的郵件透過 TLS 傳送。Microsoft Learn 說明，Exchange Online 服務器之間的連線一律使用 TLS 1.2 加密。
2. 發給其他對象的郵件預設使用機會式 TLS（opportunistic TLS）：Exchange Online 先嘗試最安全的 TLS 版本，如果收件方系統不支援 TLS，就以不加密方式發送。
3. 舊版 TLS 已淘汰。 Office 365 已淘汰 TLS 1.0 和 1.1，微軟也不建議以不加密方式傳送郵件。
4. Teams 的信息使用 TLS 和 MTLS，媒體流量使用 SRTP。

備份

1. 備份數據在靜態和傳輸中都要加密， 並把密鑰或密碼短語存放在被備份的機器以外。例如 Azure Backup 預設用平台管理的密鑰以 256 位元 AES 加密靜態數據，並透過 HTTPS 傳輸。請在你自己的備份產品文件中核對同樣兩點。
2. 每季測試一次還原。 請參閱我們的雲端備份管理服務以及管理型備份服務與備份軟件比較。

第二級：數據較敏感時

1. 要求與指定合作夥伴使用 TLS。 對大多數企業，機會式 TLS 已足夠。對銀行、醫療等合作夥伴，微軟說明可以用連接器要求 TLS。每個方向需要一個連接器。在 Exchange admin center 前往 Mail flow > Connectors > Add a connector。對你寄出的郵件，Connection from 選 Office 365，Connection to 選 Partner Organization，在 Security restrictions 畫面剔選 Always use Transport Layer Security (TLS) to secure the connection (recommended)。對你收到的郵件，再建立一個 From: Partner organization、To: Office 365 的連接器。合作夥伴需要由商業證書機構簽發的有效證書。
2. 敏感內容要加密郵件本身。 TLS 加密的是連線，不是郵件。如果把郵件轉寄給不支援 TLS 的機構，郵件不一定仍被加密。使用 Microsoft Purview Message Encryption（可用於 Outlook.com、Gmail、Yahoo 等服務）或 S/MIME。管理員可以建立郵件流程規則自動加密。用戶和管理員的步驟見在 Outlook 傳送加密電郵。
3. 高風險手提電腦加開機前 PIN。 BitLocker 可以要求 PIN 或啟動密鑰，但不能與無需啟動 PIN 的靜默加密同時使用。
4. 使用後輪替復原密鑰。 Intune 對 Windows 10 1909 或以上及 Windows 11 提供 BitLocker 密鑰輪替的遠端動作。

第三級：只針對特定要求

Microsoft Learn 把 Customer Key 和 Double Key Encryption 列為建基於 Azure、由你管理和控制的加密方案；Personal Data Encryption 則在 Windows 11 22H2 或以上配合 Windows Hello for Business 提供文件級加密。只有客戶、監管機構或風險評估提出要求時才採用，並先在微軟頁面核對授權要求。

用 Intune 強制 BitLocker

先確認設備已加入 Microsoft Entra 或混合式加入，具備 TPM 1.2 或更高、啟用 Secure Boot 的 UEFI，以及可用的 Windows Recovery Environment。

1. 登入 Microsoft Intune admin center。
2. 前往 Endpoint security > Disk encryption > Create Policy。
3. 選擇 Platform: Windows 和 Profile: BitLocker。
4. 在 Configuration settings 設定系統磁碟、固定磁碟和卸除式磁碟的加密方法、復原選項和 TPM 啟動驗證。
5. 靜默加密時，把 Require Device Encryption 設為 Enabled，把 Allow Warning For Other Disk Encryption 設為 Disabled。如果同事是標準用戶，再把 Allow Standard User Encryption 設為 Enabled。在 Operating System Drives 下，先把 Require additional authentication at startup 設為 Enabled，再把 Configure TPM startup PIN 設為 Do not allow startup PIN with TPM，Configure TPM startup key 設為 Do not allow startup key with TPM，Configure TPM startup key and PIN 設為 Do not allow startup key and PIN with TPM，Configure TPM startup 設為 Allow TPM 或 Require TPM。
6. 先指派給試行群組，再指派給所有 Windows 設備。

靜默部署前，先找出已安裝的第三方磁碟加密軟件。關閉警告會讓 BitLocker 直接繼續，如果兩個產品加密同一個磁碟，可能造成數據遺失或無法開機。也要檢查安全基準，因為 Microsoft Defender 的安全基準可能啟用 TPM 啟動 PIN，從而阻止靜默加密。

常見錯誤

1. 啟用 BitLocker 卻沒有保存復原密鑰。 沒有密鑰，更換硬件後同事可能被鎖在外面。
2. 在第三方加密之上做靜默加密。 先盤點。
3. 以為 TLS 就是郵件端對端加密。 TLS 只保護連線。
4. 手提電腦還沒退役就刪除 Intune 內的設備記錄。 刪除已加入 Microsoft Entra 且受 BitLocker 保護的設備在 Intune 內的物件，會移除系統磁碟上的密鑰保護設備，使 BitLocker 處於暫停狀態。
5. 讓所有人都能查看復原密鑰。 讀取密鑰需要 Cloud Device Administrator 或 Helpdesk Administrator 等角色，每次讀取都會被記錄審核。讓這個群組保持精簡。
6. 備份加密了，密鑰卻遺失。 備份密碼短語和密鑰要放進保管庫，並且至少兩個人能取得。

怎樣確認做成了

1. 在 Intune admin center 前往 Devices > Monitor > Encryption report，確認每部 Windows 設備都顯示為已加密。
2. 打開一部設備：Devices > All devices > 選擇設備 > Monitor > Recovery keys，確認存在 BitLocker 密鑰 ID。
3. 在一部手提電腦上以管理員權限執行下面的指令，查看 Conversion Status 一行。
4. 向外部地址寄一封測試郵件，確認郵件加密規則生效，再以收件人身份打開。
5. 從備份還原一個文件，並記錄所用時間。

manage-bde -status c:

FAQ

甚麼是數據加密？

把可讀的數據轉換成只有持有密鑰才能讀取的密文。只有持有密鑰的人或系統才能解密。

加密方法有哪幾種？

對稱加密用同一把密鑰加密和解密，常用於儲存數據和大量流量；非對稱加密使用一對密鑰，用於交換密鑰和證明身份。實際系統會結合使用，TLS 就是如此。

靜態加密和傳輸加密有甚麼分別？

靜態加密保護存放中的數據，例如用 BitLocker 加密手提電腦硬碟；傳輸加密保護流動中的數據，例如郵件連線上的 TLS。

數據加密有哪些例子？

手提電腦硬碟上的 BitLocker（靜態）、郵件服務器之間連線上的 TLS（傳輸中）、對單封郵件使用 Microsoft Purview Message Encryption，以及加密的備份庫。

甚麼是加密和解密？

加密是用密鑰把可讀數據變成密文；解密是用正確的密鑰把它還原。例如受 BitLocker 保護的手提電腦硬碟，沒有密鑰或設備 TPM 的解鎖就無法讀取。

需要把加密強制納入終端防護，可以了解我們的終端安全防護服務。