THAI DATA CLOUD
Manual Microsoft 365

Encrypt Email: ส่งอีเมลเข้ารหัสจาก Outlook ด้วย Purview

Encrypt Email จาก Outlook ด้วย Microsoft Purview Message Encryption เลือก Encrypt-Only หรือ Do Not Forward ผู้รับ Gmail เปิดอย่างไร และตั้งกฎเข้ารหัสอัตโนมัติ

โดย ทีมงาน THAI DATA CLOUD อ่าน 13 นาที

แชร์FacebookXLINELinkedIn
Encrypt Email — Encrypt Email: ส่งอีเมลเข้ารหัสจาก Outlook ด้วย Purview
Encrypt Email: ส่งอีเมลเข้ารหัสจาก Outlook ด้วย Purview

คำตอบสั้น ๆ: Encrypt Email จาก Outlook ด้วย Microsoft Purview Message Encryption เลือก Encrypt-Only หรือ Do Not Forward ผู้รับ Gmail เปิดอย่างไร และตั้งกฎเข้ารหัสอัตโนมัติ

คู่มือนี้อธิบาย Encrypt Email ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Encrypt Email ใน Microsoft 365 คือการส่งอีเมลที่ถูกเข้ารหัสด้วย Microsoft Purview Message Encryption ซึ่งทำงานบนบริการ Azure Rights Management ผู้ส่งกดปุ่ม Encrypt ใน Outlook แล้วเลือกระดับการป้องกัน คือ Encrypt-Only (เข้ารหัสอย่างเดียว) หรือ Do Not Forward (ห้ามส่งต่อ ห้ามพิมพ์ ห้ามคัดลอก) ผู้รับที่ใช้ Outlook กับบัญชี Microsoft 365 อ่านได้ตามปกติ ส่วนผู้รับที่ใช้ Gmail หรือระบบอื่นจะได้ลิงก์ไปอ่านในหน้าเว็บที่ต้องยืนยันตัวตนก่อน ผู้ดูแลยังตั้งกฎให้ Encrypt Email อัตโนมัติตามเงื่อนไขได้ด้วย

คู่มือนี้เขียนสำหรับผู้ดูแลระบบและพนักงานที่ต้องส่งข้อมูลอ่อนไหวทางอีเมล เช่น สลิปเงินเดือน สัญญา ข้อมูลส่วนบุคคลของลูกค้า หรือเอกสารการเงิน เมื่อทำครบ คุณจะตรวจได้ว่า tenant พร้อมใช้งาน ส่ง Encrypt Email ได้จาก classic Outlook, new Outlook และ Outlook on the web อธิบายผู้รับได้ว่าต้องเปิดอ่านอย่างไร และตั้ง mail flow rule ให้ Encrypt Email เองเมื่อหัวเรื่องมีคำที่กำหนด

สิ่งที่ต้องเตรียม

ก่อนเริ่มใช้ Encrypt Email ให้ตรวจสิ่งต่อไปนี้

  • ไลเซนส์ที่มี Microsoft Purview Message Encryption: Office 365 E3 และ E5, Microsoft 365 E3 และ E5, Microsoft 365 Business Premium, Office 365 A1, A3 และ A5 รวมถึง G3 และ G5 แผน Microsoft 365 Business Basic, Business Standard, Office 365 E1, Exchange Online Plan 1 และ Plan 2 ต้องซื้อ Azure Information Protection Plan 1 เพิ่ม ผู้ใช้ทุกคนที่ส่งอีเมลเข้ารหัสต้องมีไลเซนส์ ส่วนผู้รับไม่ต้องมี
  • บทบาท Compliance Administrator หรือ Exchange Administrator และ Exchange Online PowerShell สำหรับตรวจค่าและสร้างกฎ
  • ขนาดอีเมลรวมไฟล์แนบต้องไม่เกิน 25 MB ซึ่งเป็นเพดานของอีเมลที่เข้ารหัส
  • ถ้ายังมี Exchange Server ในองค์กรแบบ Hybrid อีเมลของผู้ใช้ในองค์กรต้องส่งผ่าน Exchange Online จึงจะเข้ารหัสได้
  • นโยบายขององค์กรว่าข้อมูลประเภทใดต้องเข้ารหัส เรื่องข้อกำหนดตามกฎหมายคุ้มครองข้อมูลส่วนบุคคลให้ยืนยันกับที่ปรึกษากฎหมาย การเข้ารหัสเป็นมาตรการหนึ่ง ไม่ได้ทำให้องค์กรปฏิบัติตามกฎหมายครบในตัวเอง
ตารางเปรียบเทียบตัวเลือก Encrypt Email แบบ Encrypt-Only กับ Do Not Forward ว่าผู้รับส่งต่อ พิมพ์ คัดลอกได้หรือไม่ และเหมาะกับข้อมูลแบบใด
Encrypt-Only ป้องกันระหว่างทางแต่ผู้รับยังทำงานต่อได้ Do Not Forward คุมผู้รับเข้มกว่า

ขั้นตอนที่ 1: ตรวจว่า tenant พร้อม Encrypt Email

Microsoft ระบุว่าเงื่อนไขเดียวคือบริการ Azure Rights Management ต้องเปิดอยู่ ซึ่งแผนส่วนใหญ่เปิดให้อัตโนมัติ ตรวจด้วย Exchange Online PowerShell

Connect-ExchangeOnline -UserPrincipalName [email protected]
Get-IRMConfiguration | Format-List AzureRMSLicensingEnabled
Test-IRMConfiguration -Sender [email protected] -Recipient [email protected]

ค่า AzureRMSLicensingEnabled ต้องเป็น True ถ้าเป็น False ให้รัน Set-IRMConfiguration -AzureRMSLicensingEnabled $true ผลของ Test-IRMConfiguration ต้องจบด้วย OVERALL RESULT: PASS ถ้าขึ้น Failed to acquire RMS templates ให้ทำตามขั้นแก้ในเอกสาร Set up Microsoft Purview Message Encryption ถ้าองค์กรยังใช้ AD RMS ในองค์กร ต้องย้ายไป Azure Rights Management ก่อน เพราะใช้ร่วมกันไม่ได้

ผลคำสั่ง Get-IRMConfiguration และ Test-IRMConfiguration ที่ยืนยันว่า tenant พร้อมใช้ Encrypt Email ด้วยผล OVERALL RESULT: PASS
AzureRMSLicensingEnabled ต้องเป็น True และผลทดสอบต้องจบด้วย PASS ก่อนให้ผู้ใช้เริ่มส่ง

ขั้นตอนที่ 2: ส่ง Encrypt Email จาก classic Outlook

  1. สร้างอีเมลใหม่ ใส่ผู้รับ หัวเรื่อง เนื้อหา และไฟล์แนบตามปกติ
  2. ไปที่แท็บ Options คลิกปุ่ม Encrypt แล้วเลือก Encrypt-Only หรือ Do Not Forward ถ้าองค์กรสร้าง sensitivity label หรือ template ไว้ ชื่อจะแสดงในเมนูเดียวกัน
  3. ตรวจแถบข้อความเหนือช่องผู้รับว่าแสดงระดับการป้องกันที่เลือก แล้วคลิก Send

classic Outlook รุ่นที่ส่ง Encrypt Email แบบ Encrypt-Only ได้คือ Outlook 2019 และ Microsoft 365 Apps ถ้าไม่เห็นปุ่ม Encrypt ให้ตรวจว่าบัญชีเป็นชนิด Microsoft Exchange และผู้ใช้มีไลเซนส์ตามรายการด้านบน บัญชี IMAP หรือ POP ใช้ฟีเจอร์นี้ไม่ได้

ขั้นตอนที่ 3: ส่ง Encrypt Email จาก new Outlook และ Outlook on the web

  1. คลิก New mail แล้วกรอกอีเมลตามปกติ
  2. ไปที่แท็บ Options คลิก Encrypt ระบบจะใช้ระดับ Encrypt-Only เป็นค่าแรก
  3. ถ้าต้องการ Do Not Forward ให้คลิกลิงก์ Change permissions ในแถบข้อความด้านบน แล้วเลือกระดับที่ต้องการ
  4. คลิก Send

Outlook on the web รองรับการดูตัวอย่างไฟล์ Office และ PDF ที่แนบมากับอีเมลเข้ารหัส และเป็น client ที่ Microsoft ระบุว่ารองรับการเพิกถอน (revoke) อีเมลที่เข้ารหัส ซึ่งเป็นความสามารถของ Advanced Message Encryption ที่ต้องใช้ไลเซนส์ระดับสูงกว่า เช่น E5 ใช้ได้เฉพาะอีเมลที่ส่งออกนอกองค์กรและผู้รับเปิดอ่านผ่านหน้าเว็บ

ขั้นตอนที่ 4: บอกผู้รับว่าเปิด Encrypt Email อย่างไร

ผู้รับที่ใช้ Outlook กับบัญชี Microsoft 365 ไม่ว่าจะอยู่องค์กรเดียวกันหรือไม่ จะอ่านอีเมลได้ทันทีใน Outlook for Windows, Mac, Outlook on the web และ Outlook บนมือถือ ส่วนผู้รับที่ใช้ระบบอื่นจะได้อีเมลแจ้งว่ามีข้อความที่ได้รับการป้องกัน แล้วทำตามนี้

  1. คลิก Read the message ในอีเมล
  2. ถ้าใช้ Gmail, Yahoo หรือบัญชี Microsoft ส่วนตัว เลือกลงชื่อเข้าใช้ด้วยบัญชีนั้น เช่น Sign in with Google แล้วกด Allow ข้อความจะเปิดในแท็บใหม่ อ่านในหน้าต่าง Gmail โดยตรงไม่ได้
  3. ถ้าใช้ระบบอื่น เลือกลงชื่อเข้าใช้ด้วย one-time passcode ระบบจะส่งรหัสไปที่อีเมลของผู้รับ รหัสใช้ได้ 15 นาที ให้กลับมาใส่ในหน้าเดิมแล้วคลิก Continue
  4. ผู้รับอ่านและตอบกลับได้ในหน้าเว็บ คำตอบกลับจะถูกเข้ารหัสด้วย

ไฟล์ Office ที่แนบมากับ Encrypt Email (เช่น .docx, .xlsx, .pptx) จะได้รับการป้องกันตามอีเมล และยังเข้ารหัสอยู่แม้ผู้รับดาวน์โหลดไปแล้ว ถ้าต้องการให้ไฟล์แนบของ Encrypt-Only ไม่ถูกเข้ารหัสหลังผู้รับยืนยันตัวตน ผู้ดูแลตั้ง Set-IRMConfiguration -DecryptAttachmentForEncryptOnly $true ได้ ส่วนไฟล์ PDF จะถูกเข้ารหัสด้วยเมื่อเปิด Set-IRMConfiguration -EnablePdfEncryption $true ไฟล์ Word, Excel และ PowerPoint รุ่น 97-2003 (.doc, .xls, .ppt) ไม่ได้รับการเข้ารหัสอัตโนมัติ และไฟล์ที่แชร์เป็นลิงก์ OneDrive หรือ SharePoint ไม่ได้ถูกเข้ารหัสตามอีเมล

ลำดับขั้นที่ผู้รับ Gmail หรือระบบอื่นเปิด Encrypt Email ตั้งแต่คลิก Read the message ยืนยันตัวตน จนอ่านและตอบกลับ
ผู้รับไม่ต้องติดตั้งโปรแกรม แค่ยืนยันตัวตนให้ทันใน 15 นาทีถ้าใช้รหัสใช้ครั้งเดียว

ขั้นตอนที่ 5: ตั้ง mail flow rule ให้ Encrypt Email อัตโนมัติ

วิธีที่ใช้ได้จริงในองค์กรไทยคือให้พนักงานพิมพ์คำว่า [secure] ในหัวเรื่อง แล้วให้กฎทำ Encrypt Email เฉพาะอีเมลที่ส่งออกนอกองค์กร พนักงานไม่ต้องจำว่าปุ่มอยู่ตรงไหน

  1. เปิด Exchange admin center ไปที่ Mail flow > Rules > Add a rule > Create a new rule
  2. ตั้งชื่อ เช่น Encrypt [secure] to external
  3. Apply this rule if: เลือก The sender > is external/internal > Inside the organization แล้วเพิ่มเงื่อนไข The recipient > is external/internal > Outside the organization และเงื่อนไข The subject or body > subject includes any of these words ใส่ [secure]
  4. Do the following: เลือก Modify the message security > Apply Office 365 Message Encryption and rights protection แล้วเลือก template Encrypt (หรือ Do Not Forward)
  5. คลิก Next ตั้ง Rule mode เป็น Enforce แล้ว Next และ Finish จากนั้นเปิดรายละเอียดกฎตรวจว่าสถานะเป็น Enabled ถ้ายังไม่เปิดให้เปิดสวิตช์

คำสั่ง PowerShell ที่ให้ผลเดียวกัน:

New-TransportRule -Name "Encrypt [secure] to external" -FromScope InOrganization -SentToScope NotInOrganization -SubjectContainsWords "[secure]" -ApplyRightsProtectionTemplate "Encrypt"
Get-TransportRule "Encrypt [secure] to external" | Format-List State,Priority,ApplyRightsProtectionTemplate

กฎใหม่อาจใช้เวลาสักครู่จึงมีผล ทดสอบโดยส่งอีเมลที่มี [secure] ในหัวเรื่องไปยังบัญชี Gmail ของตัวเอง แล้วดูเส้นทางอีเมลด้วยMessage Trace ใน Exchange admin center ถ้าองค์กรมีกฎอื่นอยู่แล้ว เช่น กฎใส่ข้อความท้ายอีเมล ให้ดูลำดับ Priority เพราะกฎทำงานตามลำดับ ดูหลักการเขียนกฎในคู่มือ Mail Flow Rule และขั้นตอนเต็มของ Microsoft ใน Define mail flow rules to encrypt email messages

ขั้นตอนที่ 6: ตรวจผล Encrypt Email และเตรียมรับคำถามจากผู้รับ

  • ส่งทดสอบไปยังทั้งบัญชี Microsoft 365 ของคู่ค้าและบัญชี Gmail เพื่อดูประสบการณ์ทั้งสองแบบ
  • ตรวจว่ารหัส one-time passcode ไม่ถูกกรองเป็นสแปม ถ้าคู่ค้าแจ้งว่าไม่ได้รหัส ให้ตรวจว่าโดเมนของคุณตั้ง SPF, DKIM และ DMARC ครบ ดูการเปิด DKIM บน Microsoft 365
  • เตรียมข้อความสั้นแนบท้ายอีเมลหรือหน้าเว็บอธิบายวิธีเปิด Encrypt Email ให้ลูกค้าที่ไม่คุ้น เพื่อลดสายโทรถามฝ่ายบริการ
  • ถ้าต้องการโลโก้และข้อความขององค์กรในอีเมลแจ้งและหน้าเว็บอ่านข้อความ ใช้ branding template ของ Microsoft Purview Message Encryption

ปัญหาที่พบบ่อยเกี่ยวกับ Encrypt Email

ผู้รับที่ใช้ Gmail ต้องติดตั้งโปรแกรมอะไรเพื่อเปิด Encrypt Email ไหม?

ไม่ต้อง ผู้รับคลิก Read the message แล้วลงชื่อเข้าใช้ด้วยบัญชี Google หรือขอรหัสใช้ครั้งเดียวทางอีเมล ข้อความเปิดในเบราว์เซอร์ และตอบกลับแบบเข้ารหัสได้จากหน้าเดียวกัน

ทำไมไม่เห็นปุ่มสำหรับ Encrypt Email ใน Outlook?

ตรวจสามเรื่อง คือผู้ใช้มีไลเซนส์ที่รวม Message Encryption หรือ Azure Information Protection Plan 1 ค่า AzureRMSLicensingEnabled เป็น True และบัญชีใน Outlook เป็นชนิด Microsoft Exchange ไม่ใช่ IMAP ถ้าเพิ่งเปิดไลเซนส์ให้ผู้ใช้ อาจต้องรอสักพักและเปิด Outlook ใหม่

Encrypt Email ต่างจาก S/MIME อย่างไร?

S/MIME ต้องมีใบรับรองดิจิทัลทั้งฝั่งผู้ส่งและผู้รับ และต้องแลกใบรับรองกันก่อน เหมาะกับคู่ค้าที่ตกลงใช้ร่วมกัน ส่วน Microsoft Purview Message Encryption ส่งถึงใครก็ได้ที่มีอีเมล ผู้รับยืนยันตัวตนด้วยบัญชีหรือรหัสใช้ครั้งเดียว จึงใช้กับลูกค้าทั่วไปได้ง่ายกว่า

ผู้รับเปิด Encrypt Email ใน shared mailbox ไม่ได้ ต้องทำอย่างไร?

Microsoft ระบุว่าอีเมลเข้ารหัสจากภายนอกที่ส่งเข้า shared mailbox ต้องเปิดผ่าน Outlook on the web ส่วนอีเมลจากองค์กรเดียวกันเปิดใน Outlook ได้ ถ้าใช้ Outlook for Windows ผู้ใช้ควรได้รับสิทธิ์ Full Access แบบเปิด automapping กับ shared mailbox โดยตรง

ถ้าองค์กรต้องการให้ช่วยวางนโยบายการเข้ารหัสอีเมล เลือกไลเซนส์ที่เหมาะสม หรือตั้งกฎเข้ารหัสอัตโนมัติ ติดต่อทีมงาน THAI DATA CLOUD ได้ทันที และดูรายละเอียดบริการ Microsoft 365 ได้ที่หน้าบริการของเรา

อ่านเพิ่มเติมเกี่ยวกับ Encrypt Email

แชร์FacebookXLINELinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน