電子郵件安全網關用于監控企業的入站和出站電子郵件通信中不需要或惡意電子郵件。這些產品的核心功能是阻止或隔離惡意軟件、網絡釣魚攻擊和垃圾郵件，另外，很多產品還提供針對出站電子郵件的數據丟失防護(DLP)和/或加密功能。

現在市面上有很多電子郵件安全網關產品和服務，它們幾乎可以滿足所有企業的需求。然而，從這么多產品中選出最合適的產品或服務并不是簡單的事情。對此，企業應該制定一套標準作為電子郵件安全網關評估的一部分，例如一份問題清單，針對每個評估產品，通過研究、供應商討論、產品測試和其他方法來回答這些問題。

本文中提供了一些重要標準，以幫助企業評估電子郵件安全網關。

基本安全功能如何?

每個電子郵件安全網關都應幫助企業抵御“惡意”電子郵件：即包含惡意軟件、網絡釣魚攻擊和垃圾郵件的郵件。然而，這并不意味著電子郵件安全網關產品只需要提供基本的防病毒、反垃圾郵件和反釣魚功能。畢竟，基于這種老一代反惡意軟件控制的技術并不能非常有效地抵御當前的威脅。

企業應該尋找更先進的防病毒、反垃圾郵件和反釣魚技術。例如，惡意軟件檢測應該使用沙箱等先進技術來評估文件的潛在惡意行為。現在，簡單地使用基于簽名的技術(例如防病毒簽名)進行惡意軟件檢測已經不夠。

理想情況下，這些基本的安全功能還應該利用最新威脅情報。威脅情報是指安全供應商收集的有關當前和最新威脅的信息，例如執行攻擊的主機的IP地址或者惡意域名的URL等。通過整合威脅情報服務和高級檢測技術，電子郵件安全網關可更有效地檢測惡意電子郵件，前提是威脅情報總是保持最新狀態(例如每隔幾分鐘更新)

電子郵件安全網關提供哪些其他安全功能?

有些網關僅提供上文提到的基本安全功能。然而，現在越來越多的網關開始提供額外的電子郵件相關的安全功能，特別是針對出站電子郵件的DLP和電子郵件加密功能。

對于很多企業而言，尤其是規模較大的企業，這些額外功能并沒有什么用，因為這些企業已經有企業級DLP和電子郵件加密功能。但對于沒有這些功能的企業，添加DLP和電子郵件加密功能到電子郵件安全網關(通常需支付額外費用)可符合成本效益地簡單地為企業增加這些功能。

管理功能的可用性和可定制性?

可用性是電子郵件安全網關管理的重要因素;網關越容易進行日常管理，它越可能得到正確的管理，也就是說，網關會越有效。然而，可定制性的重要性也不容忽視。雖然企業可能不想花很多時間來定制化其電子郵件安全網關，但通過自定義管理員儀表板、網關報告和網關的其他方面，企業可以提高檢測功能，以及加強管理流程本身。

不同企業對網關管理的可用性和可定制性有著不同的需求。有些企業(特別是中小企業)通常會尋找需要很少或根本不需要管理的解決方案，同時，這些企業通常不關心可定制性。而其他高風險企業可能需要高度可定制性以盡可能地提高檢測功能，即使這會對可用性帶來負面影響。

通常誤報和漏報率怎樣?

誤報率是指良性郵件被錯誤地歸類為惡意郵件的百分比。而漏報則是惡意電子郵件被錯誤地歸類為良性郵件的百分比。理想情況下，誤報和漏報率應該盡可能低，但這兩個百分比不可能降到零，因為沒有完美的檢測技術，并且，其中一個比率降低通常會導致另一個比率增加。

由于每個電子郵件安全網關會并行使用幾個檢測技術，通常報告整個網關的整體誤報率和漏報率并沒有什么用，而是應該對每種威脅類型(垃圾郵件檢測、惡意軟件檢測、網絡釣魚檢測等)提供誤報率和漏報率。企業應該能夠“調整”網關的檢測方法來提高或降低該比率，讓網關達到所需要的平衡;例如，有的企業可能可以容忍相對較高的漏報率，以實現非常低的誤報率。

電子郵件信息或附件在外部系統處理或存儲嗎?

有些電子郵件安全網關是基于云的服務，所以對于這些產品，很顯然，企業的電子郵件將通過外部系統。而不太明顯的是，一些內部部署電子郵件安全網關(硬件和虛擬設備)可能路由可疑郵件到網關供應商控制的服務器進行進一步的分析。

對于有些企業而言，傳輸電子郵件到外部服務器進行處理或存儲可能是不可接受的風險，特別是當內部電子郵件被進行分析。這可能導致敏感數據被電子郵件安全網關供應商訪問，并無意或有意地造成數據泄露事故。同樣地，如果供應商的服務器受到攻擊，敏感數據也會受到影響。因此，對保護其未加密電子郵件的保密性有著特別高要求的企業，可能會選擇內部部署的電子郵件安全網關，而不是基于云的服務。

使用外部系統的另一個考慮因素是，在不同司法管轄區域，安全和隱私法以及其他要求可能會有所不同。假如企業從云電子郵件安全網關供應商購買了服務，而如果該供應商在多個司法管轄區(特別是不同國家)有云計算設施，那么，電子郵件信息可能要遵守不同的法律，這可能需要使用額外的或不同的安全和隱私控制。這還可能帶來不同的風險，例如，外國政府可能有權利訪問該國家內供應商服務器中企業的電子郵件。

做好你的功課以及評估

面對這么多的電子郵件安全網關產品和服務，企業要從中選擇合適的產品并不是簡單的事情。在評估產品時，為評估定義基本標準是很有幫助的步驟。并沒有適合所有企業的“萬能”解決方案;每個企業都有自己的安全要求、電子郵件基礎設施和IT環境，以及面對著不同的威脅。

因此，非常重要的是，每個企業都需要進行自己的電子郵件安全網關評估工作。只是簡單地依靠第三方評估并不能幫助企業做出最好的選擇，但這種評估可以對企業自己的評估過程提供有價值的信息。

本文中介紹了幾個評估標準，這些標準可以作為一個起點，幫助企業制定自己更全面的標準清單。本文中列出的標準并不全面，每個企業應該考慮其所有獨特的需求，包括適用的法律、法規和其他合規需求。