静态与传输中的数据加密：BitLocker、Intune 与 Microsoft 365 实用清单

简短回答： 对使用 Microsoft 365 的中小企业，"够用"是四件事：每台 Windows 笔记本都用 BitLocker 加密，恢复密钥存放在 Microsoft Entra ID；Microsoft 365 内置的加密保持开启并了解其范围；发给合作方的敏感邮件用 TLS 或邮件加密保护；备份加密，并且有人能把它还原。超出这些的措施，针对的是特定风险。

本文写给被问过"我们的数据加密了吗"的老板和 IT 负责人，提供可以逐项勾选的清单和管理员步骤。读完你会知道微软已经替你加密了什么、哪些要自己开启，以及每一项怎么验证。

步骤和事实已于 2026 年 10 月 28 日对照 Microsoft Learn 核对。

一分钟看懂静态与传输中

1. 静态数据是存放着的数据：笔记本上的文件、邮箱里的邮件、SharePoint 和 OneDrive 里的文档、备份副本。
2. 传输中的数据是流动的数据：正在投递的邮件、正在同步的文件、Teams 会议、正在运行的备份。
3. 加密防的是具体的事。 静态加密防的是笔记本丢失、硬盘被盗或设备报废；传输加密防的是有人读取连接内容。Microsoft Learn 也指出，加密本身不能阻止内容被截获，所以它要放在包含 MFA、访问控制和备份的整体信息保护计划里。

第一级：每家公司都应有的基线

设备（静态）

1. 每台 Windows 笔记本和台式机启用 BitLocker。 BitLocker 加密整个卷，保护丢失、被盗或不当报废设备上的数据。搭配 TPM 保护最强。Windows Pro、Enterprise 和 Education 版本都支持。
2. 恢复密钥存放在 Microsoft Entra ID。 对已加入 Microsoft Entra 的设备，设备加密会自动把恢复密钥备份到 Entra ID。
3. 不要只用本地账户的笔记本。 Microsoft Learn 指出，只使用本地账户的设备，数据虽然加密了，设备仍然处于未受保护状态。
4. 手机和平板： 通过设备管理策略要求 PIN 或密码。

Microsoft 365（静态）

1. 保持服务端加密开启。 Microsoft Learn 说明，Microsoft 365 数据在静态和传输中都已加密，使用 TLS/SSL、IPsec 和 AES 等技术。数据中心里的文件和邮件由 BitLocker 和分布式密钥管理器（DKM）保护。
2. 要明白这保护的是微软的磁盘，不是被盗的密码。 要加上 MFA，参见在 Microsoft 365 开启 MFA。

传输中

1. Microsoft 365 组织之间的邮件通过 TLS 传送。Microsoft Learn 说明，Exchange Online 服务器之间的连接一律使用 TLS 1.2 加密。
2. 发给其他对象的邮件默认使用机会式 TLS（opportunistic TLS）：Exchange Online 先尝试最安全的 TLS 版本，如果收件方系统不支持 TLS，就不加密发送。
3. 旧版 TLS 已弃用。 Office 365 已弃用 TLS 1.0 和 1.1，微软也不建议不加密传输邮件。
4. Teams 的消息使用 TLS 和 MTLS，媒体流量使用 SRTP。

备份

1. 备份数据在静态和传输中都要加密， 并把密钥或口令存放在被备份机器以外的地方。例如 Azure Backup 默认用平台管理的密钥以 256 位 AES 加密静态数据，并通过 HTTPS 传输。请在你自己的备份产品文档中核对同样两点。
2. 每季度测试一次还原。 参见我们的云端备份管理服务以及管理型备份服务与备份软件对比。

第二级：数据更敏感时

1. 要求与指定合作方使用 TLS。 对大多数企业，机会式 TLS 已足够。对银行、医疗等合作方，微软说明可以用连接器要求 TLS。每个方向需要一个连接器。在 Exchange admin center 进入 Mail flow > Connectors > Add a connector。对你发出的邮件，Connection from 选 Office 365，Connection to 选 Partner Organization，在 Security restrictions 画面勾选 Always use Transport Layer Security (TLS) to secure the connection (recommended)。对你收到的邮件，再建一个 From: Partner organization、To: Office 365 的连接器。合作方需要由商业证书颁发机构签发的有效证书。
2. 敏感内容要加密邮件本身。 TLS 加密的是连接，不是邮件。如果把邮件转发给不支持 TLS 的组织，邮件不一定仍被加密。使用 Microsoft Purview Message Encryption（可用于 Outlook.com、Gmail、Yahoo 等服务）或 S/MIME。管理员可以建立邮件流规则自动加密。用户和管理员的步骤见在 Outlook 发送加密邮件。
3. 高风险笔记本加启动前 PIN。 BitLocker 可以要求 PIN 或启动密钥，但不能和无需启动 PIN 的静默加密同时使用。
4. 使用后轮换恢复密钥。 Intune 对 Windows 10 1909 及以上和 Windows 11 提供 BitLocker 密钥轮换的远程操作。

第三级：只针对特定要求

Microsoft Learn 把 Customer Key 和 Double Key Encryption 列为建立在 Azure 上、由你管理和控制的加密方案；Personal Data Encryption 则在 Windows 11 22H2 及以上配合 Windows Hello for Business 提供文件级加密。只有客户、监管方或风险评估提出要求时才采用，并先在微软页面核对授权要求。

用 Intune 强制 BitLocker

先确认设备已加入 Microsoft Entra 或混合加入，具备 TPM 1.2 或更高、启用 Secure Boot 的 UEFI，以及可用的 Windows Recovery Environment。

1. 登录 Microsoft Intune admin center。
2. 进入 Endpoint security > Disk encryption > Create Policy。
3. 选择 Platform: Windows 和 Profile: BitLocker。
4. 在 Configuration settings 设定系统盘、固定盘和可移动盘的加密方法、恢复选项和 TPM 启动验证。
5. 静默加密时，把 Require Device Encryption 设为 Enabled，把 Allow Warning For Other Disk Encryption 设为 Disabled。如果员工是标准用户，再把 Allow Standard User Encryption 设为 Enabled。在 Operating System Drives 下，先把 Require additional authentication at startup 设为 Enabled，再把 Configure TPM startup PIN 设为 Do not allow startup PIN with TPM，Configure TPM startup key 设为 Do not allow startup key with TPM，Configure TPM startup key and PIN 设为 Do not allow startup key and PIN with TPM，Configure TPM startup 设为 Allow TPM 或 Require TPM。
6. 先分配给试点组，再分配给所有 Windows 设备。

静默部署前，先找出已安装的第三方磁盘加密软件。关闭警告会让 BitLocker 直接继续，如果两个产品加密同一块磁盘，可能造成数据丢失或无法启动。也要检查安全基线，因为 Microsoft Defender 的安全基线可能启用 TPM 启动 PIN，从而阻止静默加密。

常见错误

1. 启用 BitLocker 却没有保存恢复密钥。 没有密钥，硬件更换后员工可能被锁在外面。
2. 在第三方加密之上做静默加密。 先盘点。
3. 以为 TLS 就是邮件端到端加密。 TLS 只保护连接。
4. 笔记本还没退役就删除 Intune 里的设备记录。 删除已加入 Microsoft Entra 且受 BitLocker 保护的设备在 Intune 中的对象，会移除系统卷上的密钥保护器，使 BitLocker 处于暂停状态。
5. 让所有人都能查看恢复密钥。 读取密钥需要 Cloud Device Administrator 或 Helpdesk Administrator 等角色，每次读取都会被记录审核。让这个群组保持精简。
6. 备份加密了，密钥丢了。 备份口令和密钥要放进保管库，并且至少两个人能取得。

怎么确认做成了

1. 在 Intune admin center 进入 Devices > Monitor > Encryption report，确认每台 Windows 设备都显示为已加密。
2. 打开一台设备：Devices > All devices > 选择设备 > Monitor > Recovery keys，确认存在 BitLocker 密钥 ID。
3. 在一台笔记本上用管理员权限运行下面的命令，查看 Conversion Status 一行。
4. 向外部地址发一封测试邮件，确认邮件加密规则生效，再以收件人身份打开。
5. 从备份还原一个文件，并记录所用时间。

manage-bde -status c:

FAQ

什么是数据加密？

把可读的数据转换成只有持有密钥才能读取的密文。只有持有密钥的人或系统才能解密。

加密方法有哪几种？

对称加密用同一个密钥加密和解密，常用于存储数据和大量流量；非对称加密使用一对密钥，用于交换密钥和证明身份。实际系统会结合使用，TLS 就是如此。

静态加密和传输加密有什么区别？

静态加密保护存放着的数据，例如用 BitLocker 加密笔记本硬盘；传输加密保护流动中的数据，例如邮件连接上的 TLS。

数据加密有哪些例子？

笔记本硬盘上的 BitLocker（静态）、邮件服务器之间连接上的 TLS（传输中）、对单封邮件使用 Microsoft Purview Message Encryption，以及加密的备份库。

什么是加密和解密？

加密是用密钥把可读数据变成密文；解密是用正确的密钥把它还原。例如受 BitLocker 保护的笔记本硬盘，没有密钥或设备 TPM 的解锁就无法读取。

需要把加密强制纳入终端防护，可以了解我们的终端安全防护服务。