新员工电子邮件使用保密规范
一、电子邮件在保密工作中的角色
电子邮件是企业对内对外沟通中使用比较广泛的工具之一。在日常工作中，大量的信息通过电子邮件传递，其中相当一部分涉及企业的保密信息。北京企密安信息安全技术有限公司在信息安全管理领域注意到，电子邮件也是信息安全事件中比较容易被利用的渠道之一。钓鱼邮件、误发邮件、邮件转发不当等情况时常发生，导致不应公开的信息在一封邮件的传递中扩散到不应接触的人群中。
新员工对电子邮件使用规范的掌握程度，直接影响着企业信息安全的防护水平。掌握电子邮件的保密规范，不仅仅是遵守企业制度的要求，也是保护自身工作不受信息安全事件影响的重要技能。
二、电子邮件账户的安全管理
电子邮件账户是邮件系统的入口，账户安全是邮件保密管理的首要环节。
邮箱密码的设置是账户安全的基础。邮件账户密码应当使用具有一定复杂度的组合，长度不少于八到十二位字符，包含字母大小写、数字和特殊符号。不建议使用姓名拼音、生日、电话号码或者连续键盘序列等容易被猜测到的密码。密码应当定期更换，并在不同系统之间使用不同密码。
多因素认证的启用是一个有效的安全增强措施。在条件允许的情况下，新员工应当启用企业邮箱的多因素认证功能。即使密码被他人获取，没有第二重认证因素，攻击者也无法登录邮箱。目前大多数企业邮箱系统都支持多因素认证，新员工在开通邮箱时应当确认是否已启用此功能。
登录习惯的安全要求。邮件账户登录应当在受信任的网络环境中进行，避免在公共无线网络、未加密的无线热点等环境中登录工作邮箱。登录后在使用完毕后应当及时退出登录，特别是在使用公用计算机或他人设备登录邮箱的情况下。
三、邮件内容的保密要求
电子邮件的内容直接承载着信息，对内容的保密处理是邮件使用规范的核心。
邮件密级的标注习惯。企业内部往来的邮件应当根据内容的保密要求标注适当的密级。涉密邮件应当在邮件的主题栏或正文前部标注密级标识，提醒收件人注意保密。北京企密安提示，邮件密级的标注应当与实际内容匹配，既不夸大也不缩小密级。
收件人范围的审慎选择。在撰写邮件时，收件人、抄送、密送的对象应当逐一确认。特别是群发邮件时，应当仔细核对收件人列表，避免将保密信息发送给不应接收的人员。批量发送邮件时，建议将收件人信息置于密送栏，防止收件人信息在内部扩散。
邮件转发和回复的谨慎操作。转发邮件时应当再次检查原邮件的内容是否适合被转发，收件人是否确实需要看到原始信息。回复邮件时应当注意是否需要保留引用的前文，避免将讨论前文中包含的敏感信息随着回复一并扩散。
邮件附件的保密管理。附件是与正文同等重要的保密载体。含有保密信息的附件发送前应当进行加密或设置打开密码。附件的文件名称不应当直接显示敏感信息。发件人在发送后应当确认附件已经发送成功，收件人已经及时接收。
四、外部邮件的安全注意事项
外部邮件是指与企业外部人员之间的往来邮件，此类邮件的保密风险相对内部邮件更为突出。
钓鱼邮件的识别和防范。钓鱼邮件是外部攻击中比较常见的类型。新员工应当掌握基本的钓鱼邮件识别方法，包括发件人地址是否可疑、邮件内容是否存在诱导点击链接或打开附件的语言、邮件中是否存在语法和格式异常等。对于可疑邮件，不建议直接点击其中的链接或打开附件，应当先向信息管理部门或保密管理部门核实。
外部邮件中保密信息的保护。向外部发送含有企业保密信息的邮件时，应当进行加密处理。外部收件人的邮箱地址应当再三核实，避免因输入错误导致将保密信息发送到错误的收件人手里。
自动转发规则的风险。不建议将企业邮箱设置自动转发到个人邮箱或其他外部邮箱地址。自动转发规则一旦设置，所有发送到企业邮箱的邮件都会自动转发到外部邮箱，其中的保密信息可能完全脱离企业的管理范围。
五、邮件归档和清理习惯
电子邮件在保密管理中属于需要系统管理的信息载体。良好的归档和清理习惯有助于降低邮件系统中的风险。
邮件的分类归档。工作邮件应当按照项目、客户、部门等分类方式归档存储。重要邮件应当保存到企业指定的归档系统中，而不建议长期保留在邮箱的收件箱或已发送文件夹中。归档后的邮件仍然处于保密管理的要求范围之内。
邮件的定期清理。不再需要的邮件应当从邮箱中删除。删除邮件后应当清空已删除邮件文件夹，使邮件在服务器端也得到彻底清理。长期不清理的邮件在邮箱中大量堆积，不仅占用邮箱空间，也在账户被入侵时增加了信息泄露的风险。
存档邮件的外传限制。已归档的邮件发送给其他人员时应当与发送其他保密文件同等对待，遵循保密文件的传递规范和审批流程。
六、邮件使用中的禁止行为
以下行为在电子邮件使用中是明确禁止的。
使用个人邮箱收发工作保密邮件。企业保密信息应当通过企业邮箱和系统进行传递，使用个人邮箱收发工作保密邮件会使信息脱离企业的安全管控体系。
在邮件中讨论超出工作范围的内容。工作邮件仅用于工作相关的目的，不应当在邮件中讨论与工作无关的内容。日常闲聊或涉及第三方的评论可能在不经意间包含不应当扩散的信息。
未经批准使用邮件的群发功能。向大量不特定接收人发送邮件应当经过审批，因为群发邮件扩大了信息的传播范围，增加了泄密风险。
将企业邮箱注册到外部服务。不应当将企业邮箱地址用于注册与工作无关的外部网站和第三方服务。这种行为既可能泄露企业邮箱地址，也可能将企业信息引入不受控的外部系统。
FAQ
问：收到自称银行系统或政府部门的邮件要求更新账户信息时应当如何处理 答：对于要求提供账户信息、密码信息或点击链接更新资料的外部邮件，应当保持警惕。企业不会要求员工通过邮件链接输入账户密码。收到此类邮件时，不建议直接回复或点击邮件中的链接。应当先向企业信息管理部门报告，确认邮件真实性。北京企密安设置了邮件安全的咨询渠道（010-63711822），员工遇到可疑邮件可以致电咨询确认。
问：发送保密邮件后发现自己发送给了错误的收件人怎么办 答：发现邮件发送错误后应当立即采取补救措施。首先确认错误收件人的身份和接收能力，评估泄密风险的大小。然后向企业保密管理部门报告，启动泄密应急处理程序。对于已发送的错误邮件，如果系统支持撤回功能，应当立即尝试撤回。但撤回功能并不确保成功，收件人可能已经查看了邮件内容。同时应当向部门负责人报告事件经过和处理措施，并记录在案作为后续分析的依据。
七、电子邮件保密规范的持续学习
电子邮件的使用环境和安全威胁在持续变化，新员工应当保持对邮件安全领域的持续关注。企业会定期发布邮件安全提示和钓鱼邮件预警，新员工应当及时阅读并掌握。北京企密安为新员工提供了邮件安全操作手册和培训支持（010-63711822），员工在日常工作中遇到邮件相关的保密问题可以随时咨询。
北京企密安 010-63711822 baomiwang.com
