小型企业必备数据加密指南

小型企业需要在四个层面部署加密：员工设备（Mac 上的 FileVault、Windows 11 专业版上的 BitLocker）、云存储（Google Workspace CSE、Microsoft 365 静态加密、Cryptomator 自带加密）、电子邮件（Microsoft 365 E3 的 S/MIME 或 ProtonMail Business），以及向客户传输文件（HexaTransfer、Tresorit Send、SwissTransfer）。10 人团队每月总成本在 600～2000 元人民币之间，具体取决于所选方案组合。这套体系不需要专职安全官来搭建——一个周末加一份清单就够了。

多数小企业踩空的合规底线

《个人信息保护法》（PIPL）适用于处理中国境内自然人个人信息的任何组织，无论规模大小，不设企业豁免。GDPR 同样适用于处理欧盟居民数据的企业，与公司体量无关，仅在 250 人以下组织的第 30(5) 条报告义务上有所减轻。HIPAA 覆盖所有医疗服务提供者，不论员工人数多少。PCI DSS 4.0 在你触碰信用卡号的那一刻起就适用。

加密在这些法规中并非明确强制，但它是成本最低的安全港机制。根据 HITECH 45 CFR 164.402，已正确加密的电子受保护健康信息（ePHI）即便发生泄露，也无需强制通知。GDPR 第 34(3)(a) 条规定，当数据经过加密无法被识别时，可豁免对当事人的通知义务。PIPL 第 51 条同样将加密列为应当采取的保护措施之一。仅这一项合规红利，往往就足以覆盖工具成本。

设备加密：免费且不可省略

FileVault（macOS）和 BitLocker（Windows 11 专业版）均免费，大多数新硬件默认启用。两者均采用 AES-XTS-128 或 AES-XTS-256。你的任务是逐台笔记本核实它确实已开启：

macOS：「系统设置 → 隐私与安全性 → FileVault」
Windows：「设置 → 隐私和安全性 → 设备加密」
Linux：LUKS2，通过 cryptsetup 配置，通常在安装时完成

恢复密钥存入密码管理器或 1Password Teams 保险库，不要放在电子表格或便利贴上。一台含有客户个人信息且未加密的笔记本失窃，在 GDPR 框架下须在 72 小时内启动第 33 条通知程序，最低罚款四位数欧元，加上声誉损失，远比工具费用高昂。

云存储：服务商加密 vs 客户端加密

Google Workspace、Microsoft 365 和 Dropbox Business 均对静态数据（AES-256）和传输数据（TLS 1.3）加密，但密钥由服务商持有。传票、内部违规员工或服务商遭受攻击，都可能导致明文暴露。对大多数小企业而言，服务商管理的加密已经足够——你的威胁模型可能是勒索软件和设备丢失，而非国家级对手。

需要处理受监管数据时，应升级至客户端加密。Google Workspace 客户端加密（CSE）允许集成 Thales 或 Fortanix 的密钥管理系统，让 Google 只存储密文。Microsoft 在 E5 级别提供双密钥加密（DKE）。如果预算有限，Cryptomator（桌面版免费，移动版约 35 元人民币一次性购买）可为任何云存储透明添加 AES-256-GCM 加密层。

不需要读博也能搞定邮件加密

小企业有三个切实可行的方案：

ProtonMail Business（约 55 元/用户/月）：ProtonMail 用户之间默认端到端加密，外部收件人可收到密码保护邮件，高级用户可导出 PGP。
Microsoft 365 邮件加密（E3 计划内含）：基于 Web 门户为外部收件人发送加密邮件，租户内部支持 S/MIME。
Tutanota Business（约 23 元/用户/月）：总部位于欧盟，主题与正文均端到端加密，含日历和联系人功能。

与律师事务所或会计师事务所的合同级往来，ProtonMail 或 M365 的 S/MIME 均已足够。常见的陷阱是用普通 Gmail 处理敏感信息，误以为 TLS 能保护你——它保护不了，因为 Google 自身可以读取每一封邮件。

向客户传输文件

邮件附件限制（Gmail 25 MB，Outlook.com 20 MB）让每家企业都需要某种文件传输方案。合规首选如下：

HexaTransfer：客户端 AES-256-GCM，单次最多 10 GB，无需注册，7 天自动过期。免费版满足大多数小企业需求。
Tresorit Send：端到端加密，免费版 5 GB，Business 计划（约 100 元/用户/月）无限量。
SwissTransfer：单次 50 GB，可选端到端加密模式，由 Infomaniak 托管于瑞士。
WeTransfer Pro：20 GB，可设密码，但并非端到端加密——WeTransfer 服务器可读取文件内容。

HIPAA 工作流须确认服务商愿意签署商业伙伴协议（BAA）。GDPR 要求核实服务器位置——第 44 条限制在未设置具体保障措施的情况下向欧洲经济区以外转移数据。处理中国境内个人信息时，PIPL 第三章对跨境传输提出了安全评估或标准合同等额外要求。

密码管理是加密体系的根基

每款加密工具都依赖一个秘密：设备密码、保险库主密钥、共享传输密码。如果员工在所有服务都用同一个 Summer2025!，加密就是摆设。在推行任何其他工具之前，先部署 1Password Teams（约 55 元/用户/月）、Bitwarden Business（约 42 元/用户/月）或类似产品。这些工具均采用 AES-256-GCM 本地加密，配合 PBKDF2 或 Argon2id 密钥派生。

在管理员账户上强制启用多因素认证（微软 Authenticator、1Password 内置 TOTP 或每个约 350 元的 YubiKey 硬件密钥），理想情况下全员覆盖。密码泄露加上无 MFA，是 80% 小企业安全事件的真正起因——而不是什么复杂的密码分析攻击。

切实可行的 30 天落地计划

第一周：清点所有笔记本，确认 FileVault/BitLocker 已启用，记录设备归属。第二周：部署密码管理器，将电子表格里的共享凭据全部迁入。第三周：选定加密邮件和加密文件传输方案，对全员进行培训。第四周：撰写一页纸的数据处理规范，明确不同类型文件用哪种工具，并进行模拟笔记本失窃的桌面演练。此后每季度复盘一次。

10 人团队预算速查表

| 层级 | 产品 | 月费（估算） | |---|---|---| | 设备 | FileVault / BitLocker | 免费 | | 密码管理 | 1Password Teams | ¥550 | | 云端 + 邮件 | Google Workspace 商务标准版 | ¥1000 | | 加密邮件补充 | ProtonMail Business（5 人） | ¥275 | | 文件传输 | HexaTransfer（免费） | 免费 | | MFA 硬件 | YubiKey 5（一次性，摊销） | ¥290 | | 合计 | | 约 ¥2115 |

去掉 ProtonMail，费用降至约 ¥1840——不到一小时安全事件响应顾问的费用。文件传输那一项，在 hexatransfer.com 上试试——免费、无需注册、最多 10 GB。