前言：企業郵件不只是收發信
電子郵件是企業最基礎、也最關鍵的通訊基礎設施。根據統計，超過 90% 的網路攻擊始於一封惡意郵件，而郵件系統的穩定性直接影響企業日常營運效率。然而，許多企業在選擇郵件方案時，僅關注「能不能收發信」，忽略了安全防護、法規合規與長期維運成本等面向。
一套理想的企業郵件系統，不僅要能穩定收發信件，更需具備完善的垃圾郵件過濾、進階威脅防護、郵件歸檔稽核，以及與現有 IT 基礎設施的整合能力。本文將從選型策略、安全機制到合規要求，為您提供完整的企業郵件規劃指南。
自建 vs 雲端郵件比較
企業在規劃郵件系統時，首先面臨的抉擇就是「自建」或「雲端託管」。兩者各有優勢，需依據企業規模、IT 人力、預算與合規需求綜合評估。
方案比較表
| 評估面向 | 自建郵件伺服器 | 雲端郵件服務 |
|---|---|---|
| 初期建置成本 | 高（伺服器、授權、機房） | 低（月租 / 年租） |
| 維運人力 | 需專職 IT 管理 | 由服務商負責 |
| 資料控制權 | 完全掌握，資料留在本地 | 依服務商政策，資料存於雲端 |
| 擴充彈性 | 需額外採購硬體 | 依需求隨時調整帳號數 |
| 可用性保障 | 依自身機房 SLA | 服務商提供 99.9%+ SLA |
| 客製化程度 | 高，可完全自訂 | 有限，依服務方案而定 |
| 安全更新 | 需自行追蹤與部署 | 服務商統一更新 |
| 合規稽核 | 需自行建置歸檔系統 | 部分方案內建歸檔功能 |
TCO 總擁有成本分析
以 100 人規模企業為例，自建郵件系統的五年 TCO 約為雲端方案的 1.3～1.8 倍。自建方案的隱性成本包括：伺服器硬體折舊、作業系統與郵件軟體授權、IT 人員維運工時、電力與機房空間、備份儲存，以及安全事件的應變成本。
然而，對於 500 人以上的大型企業，若已具備完善的資料中心與 IT 團隊，自建方案的每人成本可能低於雲端訂閱。建議企業以 3～5 年為計算基準，將所有直接與間接成本納入評估。
網擎 Openfind 產品介紹
網擎資訊（Openfind）是台灣領先的企業郵件解決方案供應商，產品線涵蓋雲端郵件、郵件安全閘道與郵件歸檔系統，能滿足不同規模企業的需求。
MailCloud 雲端郵件
MailCloud 是網擎提供的企業級雲端郵件服務，將郵件伺服器託管於國內資料中心，兼具雲端服務的便利性與資料在地化的合規優勢。
- 支援自訂網域，提供 Webmail、IMAP/POP3、Exchange ActiveSync 等多種存取方式
- 內建垃圾郵件過濾與病毒掃描，攔截率達 99% 以上
- 提供行事曆、通訊錄、雲端硬碟等協作功能
- 資料中心位於台灣，符合本地法規對資料落地的要求
- 提供 99.9% 服務可用性 SLA 保障
MailGates 郵件安全閘道
MailGates 是一套部署於郵件伺服器前端的安全閘道，無論企業使用自建或雲端郵件，都能透過 MailGates 強化郵件安全防護層級。
- 多層式垃圾郵件過濾引擎，結合 IP 信譽評等、內容分析與貝氏演算法
- 進階威脅防護（APT）：沙箱動態分析可疑附件，攔截零日攻擊
- URL 即時改寫與點擊時掃描，防範釣魚連結
- 支援 SPF/DKIM/DMARC 驗證與簽署
- DLP 資料外洩防護：可設定關鍵字、正規表示式規則，防止機敏資料外傳
- 提供詳細的郵件流量報表與即時監控儀表板
MailBase 郵件歸檔
MailBase 是企業郵件歸檔與稽核解決方案，能自動將所有進出郵件完整保存，並提供快速搜尋與匯出功能，滿足法規合規與內部稽核需求。
- 即時攔截歸檔，確保每一封郵件都被完整保存，無法事後刪除或竄改
- 全文檢索引擎，支援附件內容搜尋（Word、Excel、PDF 等）
- 多重角色權限管理：稽核人員、法務、主管可依權限查閱不同範圍的郵件
- 符合金管會、上市櫃公司資訊安全管理辦法對郵件留存的要求
- 支援長期歸檔，可依政策設定保存年限（如 7 年、10 年）
郵件安全三大機制：SPF / DKIM / DMARC
電子郵件協定（SMTP）在設計之初並未內建寄件人身分驗證機制，這使得偽冒寄件人成為最常見的攻擊手法。SPF、DKIM 與 DMARC 三大機制的組合，是目前防範郵件偽冒的業界標準。
SPF（Sender Policy Framework）
SPF 透過在 DNS 中發布一筆 TXT 記錄，宣告哪些 IP 位址或主機有權代表該網域寄送郵件。收件伺服器在收到郵件時，會比對寄件來源 IP 是否在 SPF 記錄的授權清單中。
- 設定範例：
v=spf1 include:mailcloud.com.tw ip4:203.0.113.0/24 -all - 建議使用
-all（硬性拒絕）而非~all（軟性標記），以嚴格拒絕未授權來源的郵件 - 注意 DNS 查詢次數上限為 10 次，過多的 include 會導致 SPF 驗證失敗
DKIM（DomainKeys Identified Mail）
DKIM 在每封外寄郵件的標頭中加入數位簽章，收件伺服器可透過 DNS 中公布的公鑰驗證簽章的正確性，確認郵件在傳輸過程中未被竄改。
- 建議金鑰長度至少 2048 位元
- 定期輪換簽章金鑰（建議每 6～12 個月），降低金鑰外洩風險
- DKIM 可確保郵件完整性，與 SPF 互補（SPF 僅驗證來源 IP）
DMARC（Domain-based Message Authentication, Reporting & Conformance）
DMARC 建構在 SPF 與 DKIM 之上，定義當郵件未通過驗證時的處理政策，並提供報告機制讓網域擁有者了解郵件驗證狀況。
- 政策等級：
none（僅監控）→quarantine（隔離）→reject（拒絕） - 建議分階段實施：先以
p=none蒐集報告 2～4 週，確認合法郵件均通過驗證後，再逐步提升至p=reject - DMARC 報告（RUA/RUF）可幫助識別未授權的郵件發送行為，及時發現網域被冒用的情況
郵件威脅防護
電子郵件是網路攻擊者最偏好的入侵管道。以下為企業最常面臨的郵件威脅類型，以及對應的防護策略。
釣魚郵件（Phishing）
攻擊者偽裝為可信賴的寄件人（如銀行、供應商、主管），誘騙收件人點擊惡意連結或提供帳號密碼。防護措施包括：URL 即時掃描與改寫、寄件人身分驗證（SPF/DKIM/DMARC）、使用者資安意識教育訓練，以及多因素驗證（MFA）降低帳號被盜風險。
商業電子郵件詐騙（BEC）
BEC 攻擊者透過入侵或偽冒企業高層的郵件帳號，指示財務部門進行匯款或變更付款帳戶。此類攻擊通常不帶惡意附件或連結，傳統防毒軟體難以偵測。防護重點在於：強制高風險帳號啟用 MFA、建立匯款驗證 SOP、郵件閘道的寄件人異常行為偵測。
APT 進階持續性威脅
APT 攻擊者會針對特定企業量身打造惡意郵件，附件可能包含利用零日漏洞的惡意程式。MailGates 的沙箱分析功能可在安全的隔離環境中執行可疑附件，觀察其行為後再決定放行或攔截，有效防範傳統特徵碼無法辨識的新型威脅。
勒索軟體郵件
勒索軟體經常透過郵件附件（如偽裝成發票的 .zip 或 .docm 檔案）傳播。防護策略包括：封鎖高風險附件類型（如 .exe、.scr、.js）、啟用附件沙箱掃描、搭配端點防護（EDR）形成縱深防禦，以及完善的離線備份機制確保資料可復原。
郵件歸檔與法規合規
隨著主管機關對企業資訊治理的要求日益嚴格，郵件歸檔已從「選配」升級為「必備」。以下為台灣企業常見的郵件留存合規要求。
法規要求
- 金管會「上市上櫃公司資通安全管控指引」：要求企業建立電子郵件適當之管控機制，包括郵件留存與稽核
- 個人資料保護法：企業需證明已採取適當安全措施保護個資，郵件歸檔可作為舉證資料
- 營業秘密法：在智慧財產訴訟中，完整的郵件歸檔記錄可作為重要證據
- 金融業規範：金融機構的郵件通訊記錄通常需保存 5～7 年以上
MailBase 歸檔方案特點
- 即時歸檔：郵件在送達信箱的同時即被歸檔，使用者無法自行刪除歸檔副本
- 防竄改機制：歸檔資料採用 WORM（Write Once Read Many）保護，確保資料完整性
- 全文檢索：支援中文斷詞、附件內容搜尋，可在數秒內從數百萬封郵件中找到目標
- 權限分級：依據角色（稽核、法務、HR、主管）設定不同的查閱範圍與權限
- 匯出功能：支援匯出為 EML、PST 格式，便於提供給法務或主管機關
- 容量擴充：支援分散式儲存架構，歸檔容量可隨企業成長彈性擴展
遷移流程與時程
企業郵件系統遷移是一項需要周密規劃的工程，任何失誤都可能導致郵件中斷，影響企業營運。以下為典型的遷移流程與建議時程。
遷移步驟
- 階段一：環境評估（1～2 週） — 盤點現有郵件帳號數量、信箱容量、使用中的協定（IMAP/POP3/Exchange）、既有的 DNS 設定與 SPF/DKIM 記錄
- 階段二：新系統部署（1～2 週） — 建置新郵件系統或開通雲端服務、設定網域驗證、配置安全閘道（MailGates）與歸檔系統（MailBase）
- 階段三：資料遷移（2～4 週） — 使用遷移工具將歷史郵件從舊系統搬移至新系統，建議分批進行，優先遷移活躍帳號
- 階段四：並行測試（1～2 週） — 新舊系統並行運作，內部測試群組優先切換，驗證郵件收發、行事曆同步、手機存取等功能
- 階段五：DNS 切換與全面上線（1～3 天） — 修改 MX 記錄指向新系統、更新 SPF/DKIM/DMARC 記錄、監控郵件流量確保無異常
- 階段六：舊系統下線（2～4 週觀察期） — 保留舊系統一段時間作為備援，確認所有郵件已完成遷移後再正式下線
DNS 切換注意事項
MX 記錄的 TTL 建議在切換前 24～48 小時先調低至 300 秒（5 分鐘），以加速全球 DNS 更新傳播。切換後需持續監控至少 72 小時，確認所有來源的郵件都正確路由至新系統。同時需注意更新 SPF 記錄，將新郵件系統的 IP 納入授權清單，避免外寄郵件被退信。
典型時程表
| 階段 | 時程 | 關鍵產出 |
|---|---|---|
| 環境評估 | 第 1～2 週 | 現況報告、帳號清單、遷移計畫書 |
| 系統部署 | 第 3～4 週 | 新郵件系統就緒、安全閘道配置完成 |
| 資料遷移 | 第 5～8 週 | 歷史郵件搬移完成、帳號對應驗證 |
| 並行測試 | 第 9～10 週 | 測試報告、使用者回饋彙整 |
| 正式切換 | 第 11 週 | MX 記錄切換、全員上線 |
| 觀察與收尾 | 第 12～14 週 | 舊系統下線、專案結案報告 |
結論
企業郵件系統的選型與安全防護，涉及技術架構、成本效益、安全合規等多個面向，絕非單純的「選一套郵件軟體」就能解決。從自建與雲端的抉擇、SPF/DKIM/DMARC 的正確設定、進階威脅防護的部署，到郵件歸檔的合規建置，每一個環節都需要專業的規劃與執行。
凱茂資訊作為網擎 Openfind 的授權合作夥伴，能提供從郵件系統選型諮詢、MailCloud/MailGates/MailBase 方案規劃、系統建置部署到遷移執行的一站式服務，協助企業以最佳成本建構安全、穩定、合規的企業郵件環境。
重點摘要
- 台灣企業郵件系統以 M365 為主流（市佔約 65%）
- SPF + DKIM + DMARC 三者搭配是郵件安全基本門檻
- 進階威脅防護（ATP）可攔截傳統過濾器無法偵測的零日釣魚
- 50 人企業郵件系統年費約 15-40 萬元
想了解最適合您企業的郵件方案？歡迎與我們的顧問團隊聯繫。
諮詢企業郵件方案 →